При принятии решений на основании исключительно автоматизированной обработки персональных данных, субъект персональных данных имеет право:
— запретить принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных;
— требовать у оператора предоставления разъяснений:
а) о порядке принятия решений на основании исключительно автоматизированной обработки его персональных данных;
б) о возможных юридических последствий такого решения;
в) о порядке защиты его прав и законных интересов.
— требовать у оператора предоставления возможности заявления возражения против такого решения. В случае поступления возражений со стороны субъекта персональных данных, оператор обязан в течении 30 дней, со дня получения возражений, рассмотреть поступившие возражения и сообщить о результатах его рассмотрения.
В случае, если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных» или иным образом нарушает его права и свободы, субъекта персональных данных имеет право:
— обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
— на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
В соответствии с частью 4, статьи 9 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных», письменное согласие субъекта персональных данных на обработку своих персональных данных должно включать в себя:
— фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
— фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
— наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
— цель обработки персональных данных;
— перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
— наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
— перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
— срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
— подпись субъекта персональных данных.
Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи» электронной подписью.
Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных возлагается на оператора.
В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.
В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
2.2. Обязанности оператора персональных данных
В соответствии с определением, приведенным в ст. 3 Федерального закона «О персональных данных», оператор персональных данных – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Таким образом, исходя из данного определения, Федеральный закон «О персональных данных» касается всех лиц, осуществляющих обработку ПДн, ни для каких организаций, предпринимателей либо иных лиц каких-либо исключений не сделано. Любая организация или физическое лицо, в том числе предприниматель, осуществляющее обработку данных субъектов персональных данных является оператором персональных данных.
В соответствии с положениями Федерального закона № 152 «О персональных данных», оператор при сборе персональных данных обязан:
— предоставить субъекту персональных данных по его просьбе следующую информацию:
а) подтверждение факта обработки персональных данных оператором;
б) правовые основания и цели обработки персональных данных;
в) цели и применяемые оператором способы обработки персональных данных;
г) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
д) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
е) сроки обработки персональных данных, в том числе сроки их хранения;
ж) порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом от 27.07.2006 № 152–ФЗ «О персональных данных»[4];
з) информацию об осуществленной или о предполагаемой трансграничной передаче данных;
и) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
к) иные сведения, предусмотренные настоящим Федеральным законом или другими федеральными законами;
— разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные, если предоставление персональных данных является обязательным в соответствии с федеральным законом от 27.07.2006 № 152–ФЗ «О персональных данных»;
— предоставить субъекту персональных данных до начала обработки таких персональных данных, в случае, если персональные данные получены не от субъекта персональных данных, следующую информацию:
а) наименование либо фамилия, имя, отчество и адрес оператора или его представителя;
б) цель обработки персональных данных и ее правовое основание;
в) предполагаемые пользователи персональных данных;
г) установленные настоящим Федеральным законом права субъекта персональных данных;
д) источник получения персональных данных.
Оператор освобождается от обязанности предоставить субъекту персональных данных сведения, в случаях, если:
— субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим оператором;
— персональные данные получены оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;
— персональные данные сделаны общедоступными субъектом персональных данных или получены из общедоступного источника;
— оператор осуществляет обработку персональных данных для статистических или иных исследовательских целей, для осуществления профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта персональных данных;
— предоставление субъекту персональных данных сведений, нарушает права и законные интересы третьих лиц.
В случае получения обращения и/или запроса со стороны субъекта персональных данных (или его представителя) или уполномоченного органа по защите прав субъектов персональных данных, оператор обязан:
— сообщить в порядке, предусмотренном статьей 14 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных», субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных;
— предоставить возможность ознакомления с персональными данными относящихся к соответствующему субъекту персональных данных, при обращении субъекта персональных данных или его представителя, либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя;
— дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных» или иного федерального закона, который являлся основанием в случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя, в срок, не превышающий тридцати дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя;
— безвозмездно предоставить субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных;
— внести изменения в персональные данные в срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются неполными, неточными или неактуальными;
— уничтожить персональные данные в срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
— уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы;
— сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса.
В случае нарушения законодательства при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных оператор обязан:
— осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к субъекту персональных данных, в случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных;
— осуществить блокирование персональных данных, относящихся к субъекту персональных данных, в случае выявления в них неточностей при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц;
— уточнить персональные данные и снять блокирование либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае подтверждения факта неточности персональных данных на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных в течение семи рабочих дней со дня представления таких сведений;
— прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора, в случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, в срок, не превышающий трех рабочих дней с даты этого выявления;
— уничтожить персональные данные или обеспечить их уничтожение в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, в случае, если обеспечить правомерность обработки таких персональных данных невозможно;
— уведомить субъекта персональных данных или его представителя, об устранении допущенных нарушений или об уничтожении персональных данных, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, уведомить указанный орган;
— прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае достижения цели обработки персональных данных. Данные действия должны быть реализованы в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом от 27.07.2006 № 152–ФЗ «О персональных данных» или другими федеральными законами;
— прекратить обработку персональных данных или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае отзыва субъектом персональных данных согласия на обработку его персональных данных в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами;
— уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных. Данные действия должны быть реализованы в срок, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами;
— осуществить блокирование персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае отсутствия возможности уничтожения таких персональных данных в течение срока, указанного в частях 3 – 5 статьи 21 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных», и обеспечить уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
Также в Федеральном законе от 27.07.2006 № 152–ФЗ «О персональных данных» отдельно оговорены обязанности оператора по уведомлению об обработке персональных данных. До начала обработки персональных данных оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных:
— оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
а) обрабатываемых в соответствии с трудовым законодательством;
б) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
в) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством РФ, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;
г) сделанных субъектом персональных данных общедоступными;
д) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
е) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
ж) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
з) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами РФ, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных;
и) обрабатываемых в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства;
— уведомление, предусмотренное частью 1 статьи 22 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных», направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление должно содержать следующие сведения:
а) наименование (фамилия, имя, отчество), адрес оператора;
б) цель обработки персональных данных;
в) категории персональных данных;
г) категории субъектов, персональные данные которых обрабатываются;
д) правовое основание обработки персональных данных;
е) перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных;
ж) описание мер, предусмотренных статьями 18.1 и 19 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных», в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
з) фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты;
и) дата начала обработки персональных данных;
к) срок или условие прекращения обработки персональных данных;
л) сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки;
м) сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством РФ;
— уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с даты поступления уведомления об обработке персональных данных вносит сведения, указанные в части 3 статьи 22 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных», а также сведения о дате направления указанного уведомления в реестр операторов. Сведения, содержащиеся в реестре операторов, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, являются общедоступными;
— на оператора не могут возлагаться расходы в связи с рассмотрением уведомления об обработке персональных данных уполномоченным органом по защите прав субъектов персональных данных, а также в связи с внесением сведений в реестр операторов;
— в случае предоставления неполных или недостоверных сведений, указанных в части 3 статьи 22 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных», уполномоченный орган по защите прав субъектов персональных данных вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов;
— в случае изменения сведений, указанных в части 3 статьи 22 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных», а также в случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений или с даты прекращения обработки персональных данных.
2.3. Меры по обеспечению выполнения оператором своих обязанностей
Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152–ФЗ «О персональных данных»:
— оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152–ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152–ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Федеральным законом от 27.07.2006 № 152–ФЗ «О персональных данных» или другими федеральными законами. К таким мерам могут, в частности, относиться:
а) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных;
б) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
в) применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных»;
г) осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных Федеральным законом от 27.07.2006 № 152–ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;
д) оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных», соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом;
е) ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников;
— оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных;
— оператор, осуществляющий сбор персональных данных с использованием информационно–телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
— Правительство РФ устанавливает перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152–ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами;
— оператор обязан представить документы и локальные акты, указанные в части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных» настоящей статьи, и (или) иным образом подтвердить принятие мер, указанных в части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152–ФЗ «О персональных данных», по запросу уполномоченного органа по защите прав субъектов персональных данных.
2.4. Меры по обеспечению безопасности персональных данных при их обработке
Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. Обеспечение безопасности персональных данных достигается, в частности:
— определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
— применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности персональных данных;
— применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
— оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
— учетом машинных носителей персональных данных;
— обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
— восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
— установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
— контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
Правительство РФ с учетом возможного вреда субъекту персональных данных, объема и содержания обрабатываемых персональных данных, вида деятельности, при осуществлении которого обрабатываются персональные данные, актуальности угроз безопасности персональных данных устанавливает:
— уровни защищенности персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных;
— требования к защите персональных данных при их обработке в информационных системах персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных;
— требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.