Научная исследовательская работа по защите персональных данных. Актуальность защиты персональных данных

Защита персональных данных в Российской Федерации: Проблемы и перспективы

Alexander Antipov

В настоящее время можно с уверенностью сказать, что Российское государство на данном пути столкнулось с рядом требующих решения проблем, среди которых выделяется обеспечение защиты сферы частной жизни гражданина.

Шкилев Николай Александрович

ВВЕДЕНИЕ

Положения Конституции Российской Федерации свидетельствуют о решительном переходе государства на путь построения демократического общества, где главной ценностью является человек. В настоящее время можно с уверенностью сказать, что Российское государство на данном пути столкнулось с рядом требующих решения проблем, среди которых выделяется обеспечение защиты сферы частной жизни гражданина.

Часть первая статьи 24 Конституции РФ содержит норму, согласно которой «сбор, хранение и распространение информации о частной жизни лица без его согласия не допускается». Данное положение Конституции РФ имеет фундаментальный, системообразующий характер и должно определять смысл и содержание значительного числа нормативно-правовых актов разного уровня, выделяющих категорию «частная жизнь» и производную ей « персональные данные ».

Вычленение категории «персональные данные» из более общей категории «частная жизнь», прежде всего, связано с распространением автоматизированных систем обработки и хранения информации, прежде всего, компьютерных баз данных, к которым возможен удаленный доступ через технические каналы связи. Именно эти системы, по сути, сделавшие революцию в вопросах структурирования, хранения и поиска необходимых данных, создали предпосылки для возникновения проблемы защиты конфиденциальных сведений персонального характера.

Развитие этой проблемы вызывает естественную необходимость в обеспечении надежной защиты информационных ресурсов и процессов, упорядочении общественных отношений в данной сфере. Наше государство только приступает к разработке и внедрению в законодательной и исполнительной областях комплексного подхода к обеспечению защиты персональных данных. В этой связи особенно важно, чтобы вырабатываемый подход охватывал весь спектр проблем, а не сводился к рассмотрению лишь их технической составляющей.

Следует отметить, что законодатель за последнее десятилетие не оставил без внимания рассматриваемую формирующуюся информационную среду, приняв ряд системообразующих законодательных актов, среди которых можно выделить, Федеральный закон «Об информации, информатизации и защите информации», а также Федеральный закон «Об участии в международном информационном обмене», - ст. 11 «Информация о гражданах (персональные данные)» Закона «Об информации, информатизации и защите информации». Защите персональных данных работников посвящена глава 14 Трудового кодекса Российской Федерации.международных стандартов:- ISO 17799 - по информационной безопасности;- ISO 15489 - по управлению документацией.

Принятие ФЗ «О персональных данных» явилось ответом законодательной ветви власти на один из наиболее острых вызовов современной России - бесконтрольный оборот приватных сведений граждан, неуважение к частным данным вообще, а также повсеместное распространение личных записей россиян в виде баз данных. Таким образом, ФЗ имеет огромное социальное значение.

Согласно исследованию холдинга ROMIR Monitoring, проведенного в январе 2006 года по заказу «РИО-Центра», российские граждане целиком и полностью поддерживают законодательную инициативу властей. Например, лишь 3,4% респондентов уверено в защищенности своих персональных данных, а противоположной точки зрения - то есть уверенности в полной беззащитности своих приватных сведений - придерживаются 24,4% граждан. При этом 74,1% респондентов поддержали бескомпромиссную борьбу с распространением пиратских копий баз данных ГИБДД, операторов связи, БТИ и других организаций, а 63,3% граждан считают, что государство просто обязано контролировать сбор персональных данных коммерческими структурами. Отметим, что в основе исследования лежит репрезентативная выборка, состоящая из 1,6 тыс. постоянно проживающих в стране граждан из 43 субъектов РФ. Другими словами, очевидно, что с социальной точки зрения в стране уже давно назрела необходимость законодательного регулирования сбора и обработки персональной информации граждан.

Все это наводит на мысль, что исполнительная и судебная ветви власти могут и должны с энтузиазмом перенять эстафету законодателей. и уже с 30 января 2007 года органы правопорядка и суды могут начать привлекать и осуждать лиц, виновных в нелегальном распространении персональных данных. Однако с наиболее серьезными последствиями нового ФЗ придется столкнуться коммерческим компаниям, которые могут потерять лицензию на обработку приватных сведений граждан в случае нарушения требований закона.

1.Краткий правовой анализ Федерального закона “О персональных данных”

1.1. Основные понятия и термины закона

Прежде чем перейти к экспертизе требований ФЗ «О персональных данных», рассмотрим основные понятия этого нормативного акта. Список наиболее важных терминов вместе с пояснениями представлен в таблице ниже (см. таб. 1). Полный листинг понятий ФЗ можно найти во 2 ст. полного текста закона.

Прежде всего, следует обратить внимание на определение термина «персональные данные» (см. таб. 1). Далее по тексту в качестве синонима к этому понятию будут использоваться такие словосочетания, как приватные сведения, личная информация, частные записи граждан и т.д. Во всех этих случаях речь пойдет именно о персональных данных, защищаемых ФЗ. Также важно заметить, что российские законодатели сделали категорию персональных данных максимально широкой. По мнению экспертов компании InfoWatch, понятие защищаемых законом приватных сведений в России намного шире, чем в Европе или США.

Таблица 1.

Основные понятия закона «О персональных данных»

Термин	Определение	Примеры
Персональные данные	Любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных).	ФИО, дата и место рождения, адрес, образование, профессия, доходы и т.д. По сути, любые сведения о жизни гражданина.
Оператор	Государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.	Любая коммерческая, некоммерческая, государственная, частная организация, так как на попечении любой организации находятся персональные данные, как минимум, ее служащих.
Обработка персональных данных	Практически любые действия (операции) с персональными данными.	Сбор, систематизация, накопление, хранение, уточнение (обновление, изменение). Кроме того, использование, распространение, передача, обезличивание, блокирование, уничтожение.
Распространение персональных данных	Действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц.	Обнародование персональных данных в СМИ, размещение в Интернете и других сетях или предоставление доступа к персональным данным каким-либо иным способом.
Блокирование персональных данных	Временное прекращение обработки персональных данных.	Замораживание сбора, систематизации, накопления, использования и любых других операций с персональными данными.
Обезличивание персональных данных	Действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных;	Результаты статистических опросов - обезличенные данные.
Информационная система персональных данных	Информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;	База данных, например, оператора сотовой связи, содержащая персональные данные клиентов компании. Кроме того, средства для анализа записей в БД, импорта/экспорта информации, передачи данных и т.д. (см. определение «обработки персональных данных»).
Конфиденциальность персональных данных	Обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания	Требование обеспечить защиту от утечек.

Анализ главных определений ФЗ позволяет сделать ряд важных выводов. Во-первых, под действие нормативного акта подпадают абсолютно все организации, так как на попечении каждой организации находятся персональные данные, как минимум, ее служащих, а часто еще и приватные сведения клиентов, партнеров, подрядчиков или заказчиков. Во-вторых, конфиденциальность информации является обязательным требованием, причем под ней ФЗ понимает защиту от распространения (синоним слову «утечка»). Таким образом, закон «О персональных данных» затрагивает деятельность абсолютно всех коммерческих компаний и госструктур, которые теперь должны позаботиться о защите персональных данных от неавторизованного распространения, то есть, от утечки.

1.2. Основные положения закона

Рассмотрим основные положения ФЗ «О персональных данных», с которыми теперь должны считаться представители бизнеса и госсектора. Прежде всего, следует отметить 5 ст. закона - «Принципы обработки персональных данных», согласно которой цели обработки приватной информации должны соответствовать целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора. На практике это означает, что организация обязана прямо во время сбора личных сведений уведомить граждан о том, для чего ей эти сведения понадобились и что она будет с ними делать. Более того, единожды заявив о своих целях, организация не может просто так их изменить, не поставив в известность граждан.

В ч.2 ст.5 указано очень важное с точки зрения IT-безопасности требование к операторам персональных данных. «Хранение [приватных сведений] должно осуществляться … не дольше, чем этого требуют цели их обработки», а «по достижении целей обработки или утраты необходимости в их достижении» чувствительная информация «подлежит уничтожению». Это означает, что, например, электронный магазин обязан уничтожать персональные сведения своих покупателей, которые были собраны для осуществления оплаты за покупку. Если же транзакция уже осуществлена, деньги магазином получены, а данные покупателя (например, номер кредитной карты, адрес и т.д.) все еще остаются в базе данных компании, то это является нарушением закона. Срок, в течение которого уже ставшие ненужными персональные данные должны быть уничтожены, устанавливается ч.4 ст.21 длиной в три рабочих дня. Отметим, что речь здесь идет именно о персонифицированной информации. Если же сведения обезличены, то есть по ним нельзя определить, какому гражданину они принадлежат, то уничтожать эти данные не обязательно. Другими словами, ФЗ не запрещает накапливать обезличенные выборки для проведения статистических исследований.

Базовая концепция нового закона нашла свое отражение в ст.6 («Условия обработки персональных данных») и ст.7 («Конфиденциальность персональных данных»). Рассмотрим эти статьи подробнее.

Согласно ст.6, основным условием обработки приватных сведений является согласие на это владельца персональных данных, то есть самого гражданина. Из этого условия существует ряд исключений. Например, общедоступными являются некоторые приватные сведения высших чиновников и кандидатов на выборные должности. Также обработка персональных данных разрешена журналистам, если это не нарушает права и свободы субъекта чувствительной информации. Для бизнеса двумя важными исключениями, при которых необязательно спрашивать согласие гражданина на обработку его персональных сведений, являются п.2.2 и 2.5 ст.6. Согласно первому из них, разрешена «обработка [приватных данных] в целях исполнения договора, одной из сторон которого является субъект персональных данных». Согласно второму, «обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи». Однако во всех остальных случаях, бизнес просто обязан спросить у гражданина разрешение на обработку его личных сведений.

Закон также предусматривает возможности аутсорсинга обработки персональной информации. В связи с этим ч.6.4 гласит: «В случае, если оператор на основании договора поручает обработку [приватных сведений] другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности … и безопасности персональных данных при их обработке». Таким образом, на первый план выходит требование к конфиденциальности личной информации граждан, которая гарантируется 7 ст. закона.

В рамках 7 ст., «операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных». Исключений из этого требования всего два: если сведения являются обезличенными или общедоступными, то защищать их не обязательно.

Можно резюмировать, что бизнес должен получить согласие владельца приватных данных на обработку этой информации и обеспечить конфиденциальность персональных сведений. При этом согласно 9 ст., компания должна получить письменное согласие гражданина на обработку его личных записей, которое в случае возникновения конфликтных ситуаций должно быть предъявлено в суде. Отметим, что в согласии обязательно указываются цель обработки персональных данных, перечень самих данных и действий с ними и срок, в течение которого действует согласие (а также порядок его отзыва).

1.3. Требования к безопасности персональных данных

Особое внимание представители бизнеса должны уделить ст.19, регулирующей меры по обеспечению безопасности персональных данных при их обработке. Согласно ст.19 ч.1, оператор «обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных» от целого ряда угроз. Среди них закон выделяет «неправомерный или случайный доступ, уничтожение, изменение, блокирование, копирование, распространение, а также иные неправомерные действия». Другими словами, бизнесу необходимо обеспечить мониторинг всех операций, которые инсайдеры осуществляют с приватными данными клиентов и служащих. Более того, это должен быть активный мониторинг, то есть такой, который позволяет заблокировать действия, нарушающие политику безопасности.

Согласно ст.19 ч.2, Правительство РФ должно установить требования к «обеспечению безопасности [персональных данных] при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных». Контроль над выполнением этих требований, согласно ст.19 ч.3, будет возложен на «федеральный орган исполнительный власти, уполномоченный в области противодействия техническим разведкам и технической защите информации». Наконец, ст.19 ч.4 разрешает «использовать и хранить биометрические персональные данные вне информационных систем персональных данных … только на таких материальных носителях информации и с применением такой технологии хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения».

1.4. Ответственность за нарушения закона

При нарушении требований закона «О персональных данных» виновные лица (согласно ст.24) несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность. Более того, ст.17 разрешает гражданам подавать в суд на операторов персональных данных и требовать возмещение убытков и/или компенсацию морального вреда в случаях, когда оператор нарушает требования ФЗ.

Кроме того, следует рассмотреть новые положения ТК РФ. В октябре 2006 года вступает в силу федеральный закон от 30.06.2006 N 90-ФЗ «О внесении изменений в Трудовой кодекс РФ…». Этот нормативный акт вносит в ТК самые многочисленные изменения за весь период действия Кодекса. Рассмотрим два изменения в ТК, касающиеся приватных сведений.

Прежде всего, новый закон приравнял разглашение персональных данных другого работника, ставших известными в связи с исполнением служебных обязанностей, к разглашению охраняемой законом тайны. В результате такой проступок может повлечь увольнение. Соответствующий пункт прописан в разделе «Прекращение трудового договора» ТК. Вдобавок, установленный ст.391 перечень индивидуальных трудовых споров, подлежащих рассмотрению непосредственно в судах, дополнен спорами по заявлениям работников о неправомерных действиях (бездействии) работодателя при обработке и защите персональных данных работника. Соответствующее положение закреплено в разделе «Рассмотрение и разрешение индивидуальных трудовых споров». Таким образом, работодатель получает право уволить служащего, допустившего утечку персональных данных других сотрудников компании. Однако сам работник может подать в суд на свое предприятие, если оно не заботится о приватных сведениях персонала, как того требует закон.

1.5. Критические даты

Из представленной выше экспертизы ФЗ «О персональных данных» следует, что организациям предстоит принять целый ряд технических и организационных мер, чтобы удовлетворить новым нормативным требованиям. Далее в таблице (см. таб. 2.) приведен ряд критических дат, к наступлению которых бизнес и госсектор обязан привести в соответствие ФЗ свои бизнес-процессы и IT-системы.

Критические даты закона «О персональных данных»

	Расшифровка
	ФЗ «О персональных данных» вступает в силу
	Операторы, которые осуществляют обработку персональных данных до дня вступления в силу настоящего ФЗ и продолжают осуществлять такую обработку после дня его вступления в силу, обязаны направить в уполномоченный орган уведомление, предусмотренное ч.3 ст.22 настоящего ФЗ не позднее 1 января 2008 года. В этом уведомлении помимо всего прочего следует указать меры, принимающиеся для обеспечения безопасности приватных данных. Ряд исключений предусмотрен ч.2 ст.22 (например, если компания владеет приватными данными только своих сотрудников, то уведомление направлять не следует).
	Информационные системы персональных данных, созданные до дня вступления в силу настоящего ФЗ, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2010 года. Другими словами, информационная система, включающая в себя базу персональных данных, а также информационные и технические средства для их обработки, должна соответствовать требованиям к защите конфиденциальности приватной информации (ст.19 ч.1).

Выводы

Собирая воедино все указанные выше требования ФЗ «О персональных данных», можно сделать ряд выводов. Прежде всего, о безопасности приватных сведений персонала и клиентов теперь должна заботиться абсолютно каждая организация. Другими словами, российским компаниям теперь придется иметь дело с новым классом информации. Если раньше при классификации данных в коммерческой организации достаточно было учитывать три основных категории информации (публичная, конфиденциальная, секретная), то новый ФЗ практически требует создать еще один класс информации - персональные данные (клиентов, служащих и т.д.). Однако очевидно, что изменение принципов классификации влечет за собой модификацию политики IT-безопасности. Следовательно, бизнесу необходимо дополнить свой набор политик, как минимум, одной новой - политикой использования персональных данных. Эта политика должна описывать все случаи, когда приватные сведения могут быть предоставлены третьим лицам (строго согласно положениям ФЗ), и запрещать распространение этой информации во всех других ситуациях. Вдобавок, политика должна определять процедуры уничтожения персональных данных, в которых больше нет необходимости.

2.Краткий анализ Федерального закона “О персональных данных” в вопросах информационных технологий.

2.1 Требования к ИТ-безопасности

По требованиям нормативно-правовых документов работы по обеспечению безопасности персональных данных являются неотъемлемой частью работ при создании информационных систем для их обработки. Т.е. информационные системы, в которых обрабатываются персональные данные, должные в обязательном порядке содержать подсистему защиты этих данных

Руководителям организаций, специалистам в области ИТ и защиты информации следует ознакомиться с основными положениями нового ФЗ в сфере защиты персональных данных. Согласно ч.2 ст.5, «хранение [приватных сведений] должно осуществляться... не дольше, чем этого требуют цели их обработки», а «по достижении целей обработки или утраты необходимости в их достижении» чувствительная информация «подлежит уничтожению». Это означает, что, например, электронный магазин обязан уничтожать персональные сведения своих покупателей, которые были собраны для осуществления оплаты за покупку. Если же транзакция уже осуществлена, деньги магазином получены, а данные покупателя (например, номер кредитной карты, адрес и т.д.) все еще остаются в базе данных компании, это является нарушением закона. Срок, в течение которого ставшие ненужными персональные данные должны быть уничтожены, устанавливается ч.4 ст.21 длиной в три рабочих дня. Отметим, что речь здесь идет именно о персонифицированной информации. Если же сведения обезличены, то есть по ним нельзя определить, какому гражданину они принадлежат, то уничтожать эти данные не обязательно. Другими словами, ФЗ не запрещает накапливать обезличенные выборки для проведения статистических исследований.

Закон также предусматривает возможности аутсорсинга обработки персональной информации. В связи с этим ч.6.4 гласит: «В случае если оператор на основании договора поручает обработку [приватных сведений] другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности... и безопасности персональных данных при их обработке». Таким образом, на первый план выходит требование конфиденциальности личной информации граждан, которая гарантируется 7 ст. закона. Согласно этой статье, «операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных ». Исключений из этого требования всего два: если сведения являются обезличенными или общедоступными, то защищать их не обязательно.

Однако особое внимание представители бизнеса должны уделить ст.19, регулирующей меры по обеспечению безопасности персональных данных при их обработке. Согласно ст.19 ч.1, оператор «обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных » от целого ряда угроз. Среди них закон выделяет «неправомерный или случайный доступ, уничтожение, изменение, блокирование, копирование, распространение, а также иные неправомерные действия». Как указывает Олег Смолий, главный специалист управления по обеспечению безопасности «Внешторгбанка», отсюда следует, что представителям бизнеса необходимо обеспечить мониторинг всех операций, которые внутренние нарушители осуществляют с приватными данными клиентов и служащих. Более того, это должен быть активный мониторинг, то есть такой, который позволяет заблокировать действия, нарушающие политику безопасности.

Между тем, согласно ст.19 ч.2 ФЗ «О персональных данных », Правительство РФ должно установить требования к «обеспечению безопасности [персональных данных] при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных ». Контроль над выполнением этих требований, согласно ст.19 ч.3, будет возложен на «федеральный орган исполнительный власти, уполномоченный в области противодействия техническим разведкам и технической защите информации». Другими словами, принятие закона (даже с прописанными в нем требованиями к безопасности приватных сведений) является лишь первым шагом на долгом пути к цивилизованному обращению персональных данных. Следующей ступенью должно было стать назначение или создание уполномоченного органа и четкая формализация требований к защите личной информации. Отметим, что сам уполномоченный орган уже выбран. Это Федеральная служба по техническому и экспортному контролю. Однако каких-либо формализованных требований от ФСТЭК России в плане защиты персональных данных еще не было обнародовано.

Также отметим, что согласно ст.24, виновные лица несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность. Более того, ст.17 разрешает гражданам подавать в суд на операторов персональных данных и требовать возмещение убытков и/или компенсацию морального вреда в случаях, когда оператор нарушает требования ФЗ. Т.е. утечка приватных сведений граждан может легко спровоцировать целую череду исков и судебных разбирательств, что приведет к серьезным юридическим издержкам, огласке и ухудшению репутации.

2.2. Насколько сильно придется изменять свою ИТ-систему в соответствии с ФЗ

При должном финансировании и конкретизации требований нормативного акта реализация защитных мер в соответствии с ФЗ не должна представлять для российских организаций больших трудностей. Конечно, в некоторых случаях придется внедрять новые продукты и решения. Однако уже сейчас можно утверждать, что эти средства безопасности необходимо внедрить и без участия надзорных органов, так как защита конфиденциальности персональных данных и классифицированной информации в компании является залогом ее успешной деятельности.

На заключительном этапе исследования респондентам было предложено рассказать о своих планах по внедрению технологических решений, для защиты персональных данных. Оказалось, что 71% организаций уже запланировал покупку и внедрение такого рода продуктов. При этом лишь 16% компаний имеют все необходимые решения уже сейчас, а 13% не отягощают себя заботами, так как не верят в то, что ФЗ будет работать на практике. Тем не менее, если государство и дальше будет закручивать гайки, то эти 13% автоматически превратятся в провинившиеся компании, которые лихорадочно ищут и внедряют средства защиты.

2.3.Планы по внедрению новых ИТ-продуктов для соответствия ФЗ

Подводя итоги, можно заметить, что подавляющее большинство специалистов (94%) убеждено, что России был просто необходим закон «О персональных данных ». В то же самое время 40% опрошенных профессионалов не верят, что закон будет работать на практике. В чем проблема? Оказывается, в недостаточной конкретности требований закона (49%) и нехватки денег на внедрение адекватных систем защиты (20%). Таким образом, уполномоченному органу (ФСТЭК России) необходимо как можно быстрее разработать формальные требования к безопасности персональных данных и опубликовать официальный стандарт, который закрепит положения ФЗ «О персональных данных». Текущие требования это закона большинством голосом (79%) признаны вполне подъемными к реализации. Более того, 71% организаций уже запланировал внедрение новых ИТ-продуктов, позволяющих достичь соответствия с положениями закона.

Однако это лишь одна сторона медали - с ее помощью государство пытается вести профилактику утечек на уровне тех источников, откуда информация утекает. Между тем, есть еще один важный аспект: нелегальный оборот персональных данных. Ведь не надо даже далеко ходить, чтобы купить приватную базу данных на CD и за довольно скромную цену. Очевидно, что в этом плане ответственность ложится на органы исполнительной власти, у которых теперь появилась законная возможность завести против нелегальных продавцов дело. Правда, именно на этом этапе нам так необходима правоприменительная практика, нарабатывать которую России, судя по всему, придется годами.

Итак, необходимым условием обработки персональных данных является согласие на это субъекта персональных данных, за исключением особых случаев.

Федеральный закон обязывает операторов соблюдать требования по конфиденциальности персональных данных (за исключением общедоступных и обезличенных персональных данных), в том числе с помощью криптографических средств.

В целом, требования по обеспечению безопасности персональных данных устанавливаются Федеральным законодательством, Постановлениями Правительства РФ и иными подзаконными актами. Контроль выполнения требований по обеспечению безопасности персональных данных осуществляется Федеральной службой безопасности и Федеральной службой по техническому и экспертному контролю.

На этапе проектирования информационной системы или при её эксплуатации необходимо провести категорирование персональных данных. На основании категории персональных данных, а также характеристик информационной системы, связанных с угрозами безопасности персональных данных, информационной системе присваивается определённый класс, который определяет требования к защите обрабатываемых в ней данных.

Классификация информационных систем персональных данных проводится на основе нормативно-правовых документов ФСТЭК.

Мероприятия по защите персональных данных, в частности, должны включать в себя:

Определение угроз безопасности персональных данных при их обработке, разработка модели угроз;
Разработку на основе модели угроз системы защиты с применением методов, соответствующих классу информационной системы;
Проверку готовности средств защиты к использованию с составлением заключений о возможности эксплуатации;
Установку и ввод в эксплуатацию средств защиты, а также обучение сотрудников их использованию;

Важно отметить, что согласно требованиям нормативно-правовых документов средства защиты, используемые в информационных системах персональных данных (в том числе средства защиты от несанкционированного доступа, криптографические средства защиты, средства защиты от утечек по техническим каналам) должны в установленном порядке проходить оценку соответствия требованиям ФСБ и ФСТЭК.

И согласно требованиям обмен персональными данными при их обработке должен осуществляется по каналам связи, защита которых реализована с помощью организационных или технических мер.

В соответствии с законом №152-ФЗ существенно расширяется круг юридических лиц, автоматизированные системы которых должны содержать подсистемы защиты информации. В их число попадают медицинские учреждения, инвестиционные и трастовые компании, прочие структуры, привлекающие средства населения, а также все юридические лица, в составе автоматизированных систем которых в том или ином виде ведутся личные дела сотрудников.

Со дня вступления ФЗ «О персональных данных» в силу (30 января 2007 года) для операторов персональных данных описанные в законе требования по обработке и в том числе по защите персональных данных являются обязательными.

Следует отметить, что Федеральный закон касается не только вновь создаваемых систем обработки персональных данных. Информационные системы персональных данных, созданные до дня вступления закона в силу, должны быть приведены в соответствие с требованиями ФЗ «О персональных данных» не позднее 1 января 2010 года.

В Федеральном законе Российской Федерации от 27 июля 2006 г. N 152-ФЗ “О персональных данных” сказано: “Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий”. Рассмотрим, каким образом в соответствии сдействующими законадательными и нормативными актами грамотно подойти к вопросу внедрения новых средств защиты данных.

Для этого необходимо в первую очередь определиться с требованиями к реализации системы защиты данных.

Для формирования основных базовых требований к реализации системы защиты данных необходимо определиться с ответами на следующие вопросы:

Что должно служить сущностью “объект доступа”, другими словами, что должен представлять собою объект (в общем случае, набор объектов), при сохранении в который, данные должны шифроваться и/ либо гарантированно удаляться (естественно, что речь идет об автоматическом “прозрачном” для пользователя шифровании данных “на лету” при их сохранении в объект (и соответствующим образом расшифрования), реализуемого системным драйвером (аналогично и гарантированного удаления). Подходы к построению СЗД, предполагающие реализацию шифрования и/либо гарантированного удаления вручную пользователем, а уж тем более, вопросы реализации этих функций на прикладном уровне - из конкретных приложений, рассматривать не будем, наверное, даже не следует пояснять почему, если мы говорим об эффективных средствах защиты для корпоративных приложений, ориентированных на защиту персональных данных;
Что должно служить сущностью “субъект доступа”, другими словами, следует ли при принятии решения о шифровании (расшифровании) и/либо гарантированного удаления данных при запросе доступа к объекту в принципе учитывать, и если да, то каким образом учитывать то, какой пользователь и каким процессом обращается к объекту. Другими словами, следует управлять тем, какие пользователи сохраняют данные в зашифрованном виде (соответственно их информация гарантированно удаляется), либо тем, в какие объекты данных сохраняются в шифрованном виде (соответственно, в каких объектах данные гарантированно удаляются);
Что должно служить сущностью “право шифрования”. Дело в том, что при построении СЗИ от НСД возможны два подхода к реализации разграничительной политики доступа к ресурсам: посредством назначения атрибутов, присваиваемых объектам (здесь можно говорить об атрибутах “шифрование” и “гарантированное удаление”), либо посредством назначения прав доступа к объектам для пользователей. Этот вопрос тесно связан с предыдущим;
Как обеспечить коллективный доступ пользователей к зашифрованным данным (это одна из ключевых задач для корпоративных приложений при защите персональных данных, состоящая в том, что данные должны располагаться на общем ресурсе (как правило, разделенные в сети файловые объекты), причем в зашифрованном виде, при этом к этим данным должно предоставляться право доступа нескольким пользователям, например, удаленно к файловому серверу с рабочих станций корпоративной сети). Соответственно следует говорить и о гарантированном удалении данных в коллективно используемых ресурсах. Важным здесь является вопрос, учитывать ли какие-либо идентификационные данные пользователя (если да, то каким образом) при генерации ключа шифрования.

Рассмотрим эти вопросы по порядку, при этом будем учитывать, во-первых, что обе процедуры, и шифрование, и гарантированное удаление весьма ресурсоемки и оказывают влияние на загрузку вычислительного ресурса (даже при их реализации на уровне системного драйвера, в случае же реализации их на уровне приложения загрузка вычислительного ресурса возрастает в разы), во-вторых, на одном вычислительном средстве в корпоративных приложениях, как правило, обрабатывается как открытая, так и конфиденциальная информация (причем, подчас, конфиденциальная информация также может категорироваться), т.е. далеко не все данные следует дополнительно защищать средствами шифрования и гарантированного удаления.

Различные по категории конфиденциальности данные должны храниться в различных файловых объектах (только в этом случае могут быть реализованы различные режимы их обработки), причем, как на жестком диске, так и на внешних накопителях, причем как на локальных, так и на разделенных в сети (при этом не обеспечить коллективный доступ к данным - без возможности разделения файловых объектов в сети) . Основным объектом реализации разграничительной политики доступа к ресурсам является “папка”. Что касается внешних накопителей (например, Flash-устройств), то подчас на них разрешается записывать информацию только в зашифрованном виде, т.е. в этом случае объектом шифрования должен служить диск (однако, может разрешаться в зависимости от типа информации на одном внешнем накопителе сохранять данные, как в открытом, так и в шифрованном виде, тогда объектом шифрования вновь становится “папка”, например, каталог на накопителе). Папка является и обязательным объектом шифрования при использовании разделяемого ресурса (например, жесткого диска на сервере) при реализации коллективного доступа к данным в корпоративной сети. В некоторых конкретных случаях может потребоваться шифрование и отдельного файла, в частности, вся база данных может располагаться в отдельном файле. Не смотря на частность данных случаев, их возможность - объектом шифрования является файл, также должна быть реализована в средстве защиты.

Требование к реализации. Объектами криптографической защиты и гарантированного удаления остаточной информации для корпоративных приложений должны являться объекты любого уровня иерархии (диск, папка (каталог, подкаталог), файл) на жестком диске и на внешних накопителях, причем как на локальных, так и на разделенных в сети. При этом средством защиты должна предоставляться возможность задания любого набора объектов (например, несколько каталогов на выбор, включая разделенные в сети) в качестве объектов криптографической защиты и гарантированного удаления остаточной информации

Несмотря на кажущуюся очевидность данных требований, на практике широко распространены средства с весьма ограниченными возможностями задания объектов защиты, например, только локальный диск (так называемый, “файловый сейф”), либо только локальные файловые объекты могут назначаться для шифрования данных, или, например, совсем уж странное решение реализуется в некоторых средствах защиты в части гарантированного удаления остаточной информации - если активизируется этот режим, то гарантированно удаляются данные во всех файловых объектах (а как же совершенно не оправданное в этом случае дополнительное влияние на загрузку вычислительного ресурса?). Естественно, что подобные средства более просты в практической реализации, однако, следствием реализации подобных решений является их невысокая потребительская стоимость в корпоративных приложениях.

Перейдем к рассмотрению следующих двух очень важных взаимосвязанных вопросов. Следует ли учитывать каким-либо образом сущность “пользователь” при построении схемы защиты, следовательно, дополнительная защита должна являться привилегией пользователя (рассматриваться как его право), либо объекта (рассматриваться, как дополнительный атрибут файлового объекта). Заметим, что права доступа к объектам в корпоративных приложениях следует рассматривать, как принадлежность пользователя, а не как атрибут файлового объекта В данном же случае, все наоборот. Особенностью корпоративных приложений является то, что один и тот же пользователь должен обрабатывать на одном компьютере, как открытую, так и конфиденциальную информацию (если только открытую, то отсутствует потребность в дополнительной защите данных, а только конфиденциальную - на практике, как правило, не бывает). Следовательно, если дополнительную защиту данных рассматривать, как привилегию пользователя (т.е. для учетной записи устанавливать соответствующий режим сохранения и удаления (модификации) данных), то в корпоративных приложениях это будет означать, что все данные (как открытые, так и конфиденциальные) пользователя следует шифровать и гарантированно удалять. Это бессмысленно! Следовательно, шифрование и гарантированное удаление необходимо рассмаривать не как привилегию пользователя (учетной записи), а как свойство объекта, которое определяется соответствующими дополнительными атрибутами: “шифрование” и “гарантированное удаление”, присваиваемыми объектам - при сохранении данных в этот объект они автоматически шифруются, при удалении (модификации) объекта данные гарантированно удаляются.

Требование к реализации. Возможность дополнительной защиты данных методами шифрования и гарантированного удаления необходимо рассмаривать как свойство объекта, которое определяется соответствующими дополнительными атрибутами: “шифрование” и “гарантированное удаление”, устанавливаемыми для дополнительно защищаемого объекта.

Теперь о коллективном доступе к ресурсам. Это очень важная функциональная возможность. Без ее практической реализации невозможно обеспечить не только общие для пользователей файловые хранилища, но и принципиально организовать обмен защищаемыми данными через файловую систему, причем не только в сети, но и локально, на одном компьютере. Коллективный доступ к ресурсам априори возможен лишь в том случае, когда такая сущность, как “ключ шифрования” едина (ключ одинаковый) для пользователей, имеющих право доступа к коллективно используемому ресурсу.

С учетом сказанного можем сделать два очень важных вывода, во-первых, средство защиты должно обеспечивать возможность задания различных ключей шифрования для различных дополнительно защищаемых объектов (в том числе и на одном компьютере) - в пределе, для каждого объекта свой ключ шифрования, во-вторых, ключ шифрования ни коим образом не должен генерироваться на основе идентификационных данных (идентификатор и пароль) пользователей, т.к. в противном случае, эти данные должны совпадать для учетных записей, под которыми разрешен доступ к коллективно используемым объектам (что недопустимо). Заметим, что несмотря на данное, казалось бы, очевидное требование, подобные решения, реализованные на практике, существуют.

Требование к реализации. Средство защиты должно обеспечивать возможность задания различных ключей шифрования для различных дополнительно защищаемых объектов (в том числе и на одном компьютере) - в пределе, для каждого объекта свой ключ шифрования, при этом ключ шифрования ни коим образом не должен генерироваться на основе идентификационных данных (идентификатор и пароль) пользователей.

В порядке замечания отметим, что с целью снижения ресурсоемкости средства защиты, с учетом того, что на одном компьютере может обрабатываться конфиденциальная информация различных категорий, как следствие, требующая различной дополнительной защищенности, целесообразно предусмотреть возможность шифровать данные различных категорий (различные объекты) с использованием различных алгоритмов шифрования (в частности, с использованием различных длин ключа шифрования), соответственно, гарантированно удалять данные различных категорий с использованием различных правил (в частности, с возможностью задания для различных объектов различного числа проходов очистки - записи маскирующей информации, и различных способов задания маскирующей информации - маскирующая информация - это те данные, которые записываются поверх исходных данных при уничтожении, либо при модификации объекта, другими словами, эти те данные, которые остаются на носителе в качестве остаточной информации).

Теперь остановимся еще на одном важном вопросе реализации коллективного доступа, в данном случае, удаленного доступа к разделенным в сети дополнительно защищаемым объектам. Упрощенно, имеем следующую структуру системы. На рабочих станциях пользователями осуществляется обработка данных, которые сохраняются в разделенный между пользователями объект, располагаемый на отдельном компьютере (файловом сервере). Возникает вопрос, где осуществлять процедуру шифрования данных - на рабочих станциях, перед их сохранением на сервере, либо собственно на сервере? Наверное, ответ на этот вопрос очевиден - на рабочих станциях. Это объясняется тем, что при таком решении данные передаются по каналу связи в зашифрованном виде (в противном случае, в открытом).

Требование к реализации. При реализации коллективного доступа к разделенным в сети дополнительно защищаемым объектам шифрование данных должно осуществляться на рабочих станциях, на которых пользователями осуществляется обработка данных.

В порядке замечания отметим, что такое решение возможно лишь в том случае, если средством защиты выполняется требование к реализации, состоящее в том, что объектами криптографической защиты и гарантированного удаления остаточной информации для корпоративных приложений должны являться объекты любого уровня иерархии (диск, папка (каталог, подкаталог), файл) на жестком диске и на внешних накопителях, причем как на локальных, так и на разделенных в сети (см. выше).

Заключение

Обязанностью оператора, согласно статье 19, является также обеспечение безопасности персональных данных при их обработке. Чтобы не было неприятностей, организации-оператору желательно заранее разработать и закрепить в нормативных документах все организационные и технические меры информационной безопасности, которые она готова предпринять для защиты персональных данных, содержащихся в ее информационных системах.

Законом предусматривается, что все операторы, ведущие обработку персональных данных, должны заранее уведомлять об этом уполномоченный орган (статья 22), который будет вести учет операторов в специальном реестре. Уполномоченным органом, согласно статье 23, является Мининформсвязи России, который в настоящее время осуществляет «функции по контролю и надзору в сфере информационных технологий и связи». В уведомлении необходимо будет подробно изложить, что планируется делать с персональными данными. Любые изменения в отношении обработки персональных данных в обязательном порядке также должны сообщаться в уполномоченный орган.

Разрешается вести обработку персональных данных, не уведомляя уполномоченный орган, в следующих случаях:

при наличии трудовых отношений;
при заключении договора, стороной которого является субъект персональных данных;
если персональные данные относятся к членам (участникам) общественного объединения или религиозной организации и обрабатываются соответствующими общественным объединением или религиозной организацией;
если персональные данные являются общедоступными;
если персональные данные включают в себя только фамилии, имена и отчества субъектов;
при оформлении пропусков;
если персональные данные включены в информационные системы, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
если персональные данные обрабатываются без использования средств автоматизации.

В заключение дадим ряд рекомендаций организациям-операторам. Исполнить требования закона о персональных данных будет не столь уж трудно, если данную работу начать сейчас, не дожидаясь поступления первых заявлений и жалоб. Начать можно со следующих очевидных мер:

Желательно назначить ответственного сотрудника для рассмотрения всех вопросов, связанных с исполнением данного закона в организации, а для крупных компаний может быть оправдано создание специальной комиссии.

Для всех информационных ресурсов организации, содержащих персональные данные, необходимо:

определить их статус (на основании чего созданы: в соответствии с законодательством, для исполнения договора, по собственной инициативе и т.д.);
уточнить и зафиксировать состав персональных данных и их источники получения (от гражданина, из публичных источников, от третьих лиц и т.д.);
установить сроки хранения и сроки обработки данных в каждом информационном ресурсе;
определить способы обработки;
определить лиц, имеющих доступ к данным;
сформулировать юридические последствия;
определить порядок реагирования на обращения, возможные варианты ответов и действий, оценить реальность соблюдения установленных законом сроков реагирования.

Информатизация современного общества, создание и широкое использование различными государственными и частными структурами компьютеризированных баз данных о гражданах, активное участие России в международном информационном обмене придают особую актуальность задаче обеспечения правовой защиты информации о частной жизни граждан. Информация, являясь чрезвычайно емким понятием, охватывающим все стороны человеческого бытия, самым тесным образом связана с современными представлениями о безопасности. В особой мере это касается персональных данных - наиболее распространенного вида сведений, циркулирующих в обществе. Многие аспекты безопасности персональных данных, а вместе с ними - личности, общества и государства все в большей мере определяются эффективностью защиты информации, информационных технологий и средств телекоммуникации, а также степенью готовности страны к отражению внутренних и внешних угроз, связанных с неправомерным вторжением в информационную среду.

Одна из главных проблем защиты личной информации состоит в латентном характере посягательств на частную жизнь граждан: субъект данных может и не догадываться о незаконном сборе, обработке, хранении, уничтожении и передаче его персональных данных, а также о внесении в эти данные преднамеренных искажений. Применяемые правоохранительными органами меры не всегда адекватны степени возникающих угроз в этой сфере, что обуславливает необходимость применения дополнительных мер по обеспечению информационной безопасности страны, защиты частной жизни граждан от преступных посягательств. Деятельность, связанная с защитой личных секретов человека, его персональных данных требует комплексного подхода, сочетающего в себе применение эффективных правовых, организационных и технических мер.

Изучение учебной и научной юридической литературы по рассматриваемой тематике позволяет констатировать, что проблема защиты персональных данных все еще является малоизученной, поэтому нуждается в отдельной проработке. Большинство научных работ, посвященных информационной безопасности и защите информации, лишь частично касались проблемы защиты персональных данных, а те публикации, которые включали рассмотрение вопросов регулирования этой сферы, затрагивали только лишь общие проблемы без необходимой их конкретизации и предложений по их решению.

Настоящая монография посвящена разработке новых и совершенствованию существующих теоретических положений, методологических принципов формирования механизмов противодействия возникающим угрозам в сфере защиты персональных данных. В работе обоснованно отмечается, что современные требования к обеспечению их защиты обуславливают необходимость кардинального переосмысления существующих взглядов и выработки новых концептуальных подходов к этой проблеме.

В целях повышения эффективности борьбы с информационными правонарушениями авторами определены основные угрозы в сфере оборота персональных данных, разработаны предложения по совершенствованию мер их организационно-правовой и технической защиты, исследованы правовые институты защиты частной жизни граждан и персональных данных, основные положения Федерального закона «О персональных данных», особенности регулирования защиты персональных данных в различных сферах деятельности, основные этапы создания системы защиты персональных данных на предприятии, организация защиты персональных данных в информационных системах, а также опыт защиты персональных данных в развитых зарубежных странах.

Работа достаточно полно отражает системный характер рассматриваемого феномена - защиты персональных данных от самых разнообразных угроз. Результаты проведенного научного исследования создают методологическую основу для организации противодействия криминальным структурам в рассматриваемой области правоотношений усилиями как самих хозяйствующих субъектов, так и правоохранительных органов.

Объектом исследования являются защита частной жизни и персональных данных как социальное явление, а также связанные с нею общественные отношения, явления и процессы.

Предмет исследования - закономерности борьбы с посягательствами на частную жизнь граждан, особенности защиты персональных данных в России и за рубежом, современное состояние и перспективы совершенствования правовых основ защиты информационных систем персональных данных.

Цель исследования - всестороннее исследование проблем защиты персональных данных в России и в зарубежных странах, поиск путей решения проблем, связанных с обеспечением безопасности информационных ресурсов, содержащих персональные данные. Достижение поставленной цели возможно, по мнению авторов, при условии комплексного, системного подхода к решению взаимосвязанных задач, поставленных и разработанных в монографии.

Содержание монографии способствует решению актуальных проблем, связанных с подготовкой специалистов в области обеспечения информационной безопасности. Привить глубокие знания, навыки и умения в области решения указанных первостепенных задач можно лишь на основе глубокого изучения законодательства, подзаконных, ведомственных и межведомственных нормативных правовых актов; отечественного и зарубежного опыта в области обеспечения безопасности персональных данных; результатов научных исследований по данной проблематике; достижений юридических знаний, а также естественных и точных наук.

Настоящая работа является попыткой систематизировать имеющийся законодательный, научный и практический материал по правовой охране персональных данных, выявить спорные моменты и дать рекомендации по их устранению. Ее главной особенностью является комплексный и междисциплинарный характер подачи материалов. Сделанные в монографии выводы опираются на прочный теоретический фундамент и передовые юридические знания, в том числе - связанные с использованием последних достижений науки и техники. Текст монографии насыщен наглядными примерами, иллюстрирующими рассматриваемую тематику, которые адаптируют теоретические изыскания авторов применительно к практической сфере деятельности.

Комплексность и обширная научно-эмпирическая база работы обеспечивают репрезентативность и достоверность сформулированных в ней выводов, представляющих интерес для развития теоретических представлений о борьбе с информационными угрозами и дальнейшего совершенствования методов защиты персональных данных.

Монография предназначена для специалистов в области борьбы с информационными преступлениями, специалистов по защите персональных данных на предприятиях и в организациях, а также для преподавателей и практических работников в сфере обеспечения информационной безопасности, студентов и аспирантов вузов.

Библиографическая ссылка

Даукаев И.М., Журавленко Н.И. ПРОБЛЕМЫ ПРАВОВОЙ И ОРГАНИЗАЦИОННОЙ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ (МОНОГРАФИЯ) // Международный журнал экспериментального образования. – 2013. – № 9. – С. 62-63;
URL: http://expeducation.ru/ru/article/view?id=4203 (дата обращения: 12.02.2020). Предлагаем вашему вниманию журналы, издающиеся в издательстве «Академия Естествознания»

Титульный лист

ДИПЛОМНАЯ РАБОТА

ТЕМА: «ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКА»

ВВЕДЕНИЕ 3

ГЛАВА I. ПЕРСОНАЛЬНЫЕ ДАННЫЕ РАБОТНИКА: ПОНЯТИЕ И СУЩНОСТЬ 6

1.1. Ограничение персональных данных от другой информации 16

1.2. Развитие законодательства о защите персональных данных 26

1.3. Общие требования к обработке персональных данных работника и гарантия их конфиденциальности 33

ГЛАВА II. ПОРЯДОК РАБОТЫ С КОНФЕДЕНЦИАЛЬНЫМИ СВЕДЕНИЯМИ О РАБОТНИКЕ 36

2.1. Работа кадровой службы с персональными данными 39

2.2. Основные аспекты передачи персональных данных работника и защита информации при работе с персональными данными на ЭВМ 44

2.3. Контроль защиты персональной информации работника 59

ЗАКЛЮЧЕНИЕ 65

СПИСОК ЛИТЕРАТУРЫ 68

ВВЕДЕНИЕ

Персональные данные сторон трудового договора, под которыми понимается информация о работодателе и работнике, имеет важное значение для каждого из них. При заключении трудового договора работник получает информацию о работодателе, о месте его нахождения, характере будущей работы. Большое значение знание персональных данных работника имеет для работодателя, который при заключении трудового договора получает информацию о работнике, о его возрасте, профессии, специализации, квалификации, состоянии здоровья, семейном положении.

Регулированию и обеспечению конфиденциальности персонифицированной информации о работниках, посвящены нормы, содержащиеся в статьях главы 14 «Защита персональных данных работника», которой завершается раздел III «Трудовой договор» ТК РФ 1 .

Актуальность работы. Появление в российском трудовом праве норм о защите персональных данных работника продиктовано необходимостью реализации в сфере труда общепризнанных норм и принципов международного права, применение которых гарантировано Конституцией Российской Федерации 2 , которая в ст. 23 и 24 устанавливает, что каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну; сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускается.

Предметом исследования выступает информационное поле по защите персональных данных работников предприятий, государственных органов, муниципальных образований и прочих видов деятельности.

Объект исследования – персональные данные работников и их защита от неправомерного вмешательства.

Цель работы: рассмотреть вопрос защиты персональных данных работников.

Для достижения цели работы необходимо выполнить следующие задачи:

Рассмотреть теоретические основы вопроса: понятие и сущность персональных данных;

Изучить особенности персональных данных и определить их отличия от иной информации;

Проследить развитие законодательства в этой области;

Выявить общие требования к обработке персональных данных работника;

Рассмотреть работу кадровой службы с персональными данными;

Изучить основные аспекты передачи персональных данных работника, а также их защиты при работе на ЭВМ;

Рассмотреть контроль защиты персональных данных.

В работе использовались методы сравнения и анализа – при изучении Российского законодательства в сфере защиты персональных данных, а также трудов и обобщении знаний таких ученых и исследователей как Алавердов А.Р., Маркевич А.С., Кибанов А.Я., Орловский Ю.П., Петровский С.А., Янковая В.Ф. и других, а также авторов тематических статей – специалистов в области кадрового менеджмента и делопроизводства.

ГЛАВА I. ПЕРСОНАЛЬНЫЕ ДАННЫЕ РАБОТНИКА: ПОНЯТИЕ И СУЩНОСТЬ

Персональные данные сторон трудового договора, под которыми понимается информация о работодателе и работнике, имеет важное значение для каждого из них. При заключении трудового договора работник получает информацию о работодателе, о месте его нахождения, характере будущей работы. 3 Большое значение знание персональных данных работника имеет для работодателя, который при заключении трудового договора получает информацию о работнике, о его возрасте, профессии, специализации, квалификации, состоянии здоровья, семейном положении.

После заключения трудового договора информация о работнике необходима работодателю для надлежащего исполнения его обязательств, вытекающих не только из трудового, но и из гражданского, семейного, административного, других отраслей законодательства (например, для удержания из заработной платы налогов, средств в возмещение ущерба, алиментов), для предоставления работнику льгот и преимуществ, например, при переводе на другую работу в связи с болезнью, беременностью, наличием детей.

Предоставляя работодателю право получать объемную информацию о персональных данных работника, закон обязывает его принимать все меры для предупреждения несанкционированного выхода этой информации из ведения работодателя, чтобы персональные данные работника не стали достоянием третьих лиц без его ведома и согласия.

Эти нормы появились в отечественном трудовом праве недавно. Действовавший до 1 февраля 2002 г. КЗоТ РФ не только не содержал таких норм, но и не употреблял терминологию, которой охватывались бы понятия персональных данных или иной информации о работниках. И только с принятием Трудового кодекса Российской Федерации, в котором есть специальная глава 14 «Защита персональных данных работника», сбор, хранение, использование конфиденциальной информации о работнике стали предметом правового регулирования.

Появление в российском трудовом праве норм о защите персональных данных работника продиктовано необходимостью реализации в сфере труда общепризнанных норм и принципов международного права, применение которых гарантировано Конституцией Российской Федерации 4 , которая в ст. 23 и 24 устанавливает, что каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну; сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускается.

В основе этого конституционного установления лежат акты международного права, к числу которых относится Всеобщая декларация прав человека, принятая 10 декабря 1948 г. Генеральной Ассамблеей Организации Объединенных Наций, в ст. 12 которой провозглашено: «Никто не может подвергаться произвольному вмешательству в его личную и семейную жизнь, произвольным посягательствам на неприкосновенность его жилища, тайну его корреспонденции или на его честь и репутацию. Каждый человек имеет право на защиту закона от такого вмешательства или таких посягательств»1. Такие же нормы содержит Международный пакт о гражданских и политических правах, принятый 16 декабря 1966 г. Генеральной Ассамблеей ООН и ратифицированный Указом Президиума Верховного Совета СССР от 18 сентября 1&73 г., который установил, что никто не может подвергаться произвольному или незаконному вмешательству в его личную и семейную жизнь, произвольным или незаконным посягательствам на неприкосновенность его жилища или тайну его корреспонденции, на его честь и репутацию Данное правовое положение продублировано в Европейской конвенции о защите прав человека и основных свобод, заключенной в г. Минске 26 мая 1995 г. Конвенции Содружества Независимых Государств «О правах и основных свободах человека»3, которые обязывают страны - участницы Конвенции обеспечить право каждого человека на уважение его личной и семейной жизни, неприкосновенность жилища и корреспонденции, не допускать вмешательства в осуществление этого права государственных органов, за исключением вмешательства, предусмотренного законом и необходимого в демократическом обществе в интересах государственной безопасности и общественного спокойствия, экономического благосостояния страны, а также в целях предотвращения беспорядков или преступлений, для охраны здоровья или нравственности, защиты прав и свобод других лиц.

Провозглашая в соответствии с общепризнанными нормами и принципами международного права недопустимость сбора, хранения, использования и распространения информации о частной жизни лица без его согласия, Конституция Российской Федерации в то же время предоставляет каждому право свободно искать, получать, передавать, производить и распространять информацию любым законным способом (ч. 4 ст. 29) 5 . Каждое из этих прав может быть ограничено исключительно федеральным законом и только в той мере, в какой это необходимо в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.

Регламентируя эти права, Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и защите информации»1 относит информацию о работнике, его персональные данные к конфиденциальной информации, установление порядка использования и защиты которой находится в совместном ведении Российской Федерации и ее субъектов.

Дальнейшее развитие правовых предписаний о конфиденциальности информации о личности в правовом демократическом государстве получило в главе 14 Трудового кодекса Российской Федерации, и которая состоит из шести статей:

статья 85 «Понятие персональных данных работника. Обработка персональных данных работника»;

статья 86 «Общие требования при обработке персональных данных работника и гарантии их защиты»;

статья 87 «Хранение и использование персональных данных работников»;

статья 88 «Передача персональных данных работника»;

статья 89 «Права работников в целях обеспечения защиты персональных данных, хранящихся у работодателя;

статья 90 «Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника».

Системно-сравнительный анализ норм, содержащихся в этих статьях, позволяет выявить их некоторую обособленность в системе трудового права, что дает основание рассматривать их в качестве самостоятельного института трудового права, который хотя и связан тесно с трудовым договором, но в то же время выходит за его рамки, приобретая общеотраслевое значение. 6

Рассмотрение защиты персональных данных работника в качестве института трудового права выявляет его недостаточную разработанность, отсутствие необходимых связей его с рядом важных норм и положений трудового права.

Например, установив в ст. 90 ТК РФ ответственность за нарушение норм, регулирующих защиту персональных данных работников, законодатель не назвал в ст. 22 ТК РФ среди общих обязанностей работодателя как стороны трудовых отношений обязанность по защите персональных данных работников. В целях устранения такого несоответствия было бы логично отнести защиту персональных данных работников к числу основных обязанностей работодателя, внеся соответствующее дополнение в ч. 2 ст. 22 ТК РФ «Основные права и обязанности работодателя» 7 .

Аналогичное несоответствие выявляется при сравнении ст. 89 «Права работника в целях обеспечения защиты персональных данных, хранящихся у работодателя» со ст. 21 «Основные права и обязанности работников», которая среди основных прав работника не упоминает право на защиту его персональных данных.

Общее понятие персональных данных работника приводится в статье 85 ТК РФ, в соответствии с которой персональные данные работника - это информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. В этой же статье дается определение обработки персональных данных работника, под которой понимается получение, хранение, комбинирование, передача или любое другое использование персональных данных работника.

Приведенные в ст. 85 ТК РФ определения персональных данных и их обработки не являются исчерпывающими. Целый ряд дополнительных признаков содержат другие нормативные правовые акты, предназначенные для регулирования защиты персональных данных в сфере трудовых отношений, государственной и муниципальной службы.

Таким актом является, например, утвержденное Указом Президента РФ от 30 мая 2005 г. № 609 Положение о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела. В статье 2 данное Положение устанавливает, что под персональными данными гражданского служащего понимаются сведения о фактах, событиях и обстоятельствах жизни гражданского служащего, позволяющие идентифицировать его личность и содержащиеся в его личном деле либо подлежащие включению в его личное дело. Персональные данные, внесенные в личные дела гражданских служащих, становятся сведениями конфиденциального характера (за исключением сведений, которые в установленных федеральными законами случаях могут быть опубликованы в средствах массовой информации), а в случаях, установленных федеральными законами и иными нормативными правовыми актами Российской Федерации, сведениями, составляющим государственную тайну 8 .

Круг информации, относящейся к персональным данным работника, определяется работодателем с учетом условий, установленных трудовым законодательством применительно к тому или иному виду трудового договора и трудовой деятельности, а также с учетом характера выполняемой работы. Например, специальная информация потребуется работодателю для заключения с работником трудового договора на выполнение работы, требующей специальных познаний или допуска к государственной тайне.

Информация о работнике получается работодателем прежде всего из документов, предъявляемых работником при заключении трудового договора в соответствии со ст. 65 ТК РФ: из паспорта и иного документа, удостоверяющего личность, из трудовой книжки, страхового свидетельства государственного пенсионного страхования, из документов воинского учета, об образовании и квалификации и из других документов, необходимость предъявления которых при заключении трудового договора может предусматриваться Трудовым кодексом, иными федеральными законами, указами Президента и постановлениями Правительства РФ.

Значительная по объему информация может быть почерпнута из паспорта гражданина, являющегося основным документом, удостоверяющим его личность на территории Российской Федерации, в котором в соответствии с Положением о паспорте гражданина Российской Федерации, утвержденном постановлением Правительства РФ от 8 июля 1997 г. № 8281 (в ред. от 23 января 2004 г.), производятся отметки:

о регистрации гражданина по месту жительства и снятии его с регистрационного учета;

об отношении к воинской обязанности граждан, достигших 18-летнего возраста;

о регистрации и расторжении брака;

о детях, не достигших 14-летного возраста;

о ранее выданных основных документах, удостоверяющих личность гражданина Российской Федерации на территории Российской Федерации;

о выдаче основных документов, удостоверяющих личность гражданина Российской Федерации за пределами Российской Федерации.

По желанию гражданина в паспорте могут производятся отметки о его группе крови и резус-факторе и об идентификационном номере налогоплательщика.

Вторым важным источником информации о работнике является его трудовая книжка, которая по праву называется трудовым паспортом гражданина. Она содержит полный объем сведений о трудовой деятельности работника, а также иную информацию о нем.

Так, в соответствии со ст. 66 ТК РФ «Трудовая книжка» и с Правилами ведения и хранения трудовых книжек, изготовления бланков трудовой книжки и обеспечения ими работодателей, утвержденными постановлением Правительства РФ от 16 апреля 2003 г. № 2251 (в ред. от 6 февраля 2004 г.) в трудовую книжку при ее оформлении вносятся сведения о фамилии, имени, отчестве работника, дата его рождения (число, месяц, год), сведения о его образовании, профессии, специальности.

В дальнейшем по месту работы в трудовую книжку вносятся сведения о выполняемой работе, переводах на другую постоянную работу, об увольнении с указанием основания прекращения трудового договора, сведения о поощрениях и награждениях. По желанию работника в трудовую книжку по месту основной работы вносятся сведения о работе по совместительству на основании документа, подтверждающего работу по совместительству.

Записи в трудовую книжку о причинах прекращения трудового договора производятся в точном соответствии с формулировками Трудового кодекса или иного федерального закона, со ссылками на их статьи. Так, при прекращении трудового договора с работником, осужденным приговором суда к наказанию в виде лишения права занимать определенные должности или заниматься определенной деятельностью и не отбывшим это наказание, в трудовую книжку вносится запись о том, на каком основании, на какой срок и какую должность он лишен права занимать или какой деятельностью лишен права заниматься.

В трудовые книжки лиц, отбывших исправительные работы без лишения свободы, вносится по месту работы запись о том, что время работы в этот период не засчитывается в непрерывный трудовой стаж. Указанная запись вносится в трудовые книжки по окончании фактического срока отбытия наказания, который устанавливается по справкам органов внутренних дел.

В трудовую книжку по месту работы также вносятся записи о времени военной службы в соответствии с Федеральным законом от 28 марта 1998 г. № 53-ФЗ «О воинской обязанности и военной службе», службы в органах внутренних дел, органах налоговой полиции, органах по контролю за оборотом наркотических средств и психотропных веществ, в таможенных и других правоохранительных органах, о времени обучения на курсах и в школах по повышению квалификации, переквалификации и подготовке кадров.

Как видим, трудовая книжка может содержать значительный объем разнообразной информации о ее владельце, в том числе и выходящей за пределы его трудовой деятельности.

Источниками информации о работнике являются иные предоставляемые им при поступлении на работу документы: страховое свидетельство государственного пенсионного страхования, документы воинского учета, документы об образовании, о квалификации, наличии специальных знаний, ученых степеней и званий.

Информация о работнике, относящаяся к его персональным данным, концентрируется в унифицированных формах первичной учетной документации по учету труда и его оплаты, утвержденных постановлением Государственного комитета Российской Федерации по статистике от 5 января 2004 г. № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты», согласованным с Министерством финансов РФ, Министерством экономического развития и торговли РФ, Министерством труда и социального развития РФ. 9

Обязательность ведения унифицированных форм первичной учетной документации по учету труда и его оплаты распространена на все организации, осуществляющие использование труда наемных работников по трудовому договору на территории Российской Федерации, независимо от их организационно-правовых форм и формы собственности. Некоторые исключения в части учета рабочего времени и расчетов с персоналом по оплате труда предусмотрены лишь для бюджетных учреждений и работодателей - физических лиц.

В соответствии с названным выше постановлением все унифицированные формы первичной учетной документации по учету труда и его оплаты подразделяются на две группы. Первая - это документы по учету кадров, вторая - документы по учету рабочего времени и расчетов с персоналом по оплате труда.

К документам по учету кадров относятся приказ (распоряжение) о приеме работника на работу, личная карточка работника или личная карточка государственного (муниципального) служащего, учетная карточка научного, научно-педагогического работника, приказ (распоряжение) о переводе работника на другую работу, приказ (распоряжение) о предоставлении отпуска работнику, график отпусков, приказ (распоряжение) о прекращении (расторжении) трудового дрговора с работником, приказ (распоряжение) о направлении работника в командировку, командировочное удостоверение и служебное задание для направления в командировку, отчет о его выполнении, приказ (распоряжение) о поощрении работника.

К документам по учету рабочего времени и расчетов с персоналом по оплате труда относятся: табель учета рабочего времени и расчета оплаты труда, расчетная или платежная ведомость, лицевой счет, записка-расчет о предоставлении отпуска работнику, записка-расчет при прекращении (расторжении) трудового договора с работником, акт о приеме работ, выполненных по срочному трудовому договору, заключенному на время выполнения определенной работы.

Получение информации о работнике является правом работодателя. Она необходима ему в первую очередь для эффективной организации трудового процесса. Но информация о работнике может потребоваться работодателю и для исполнения обязанностей, возложенных на него трудовым законодательством. Например, для применения особых правил регулирования труда работников в возрасте до 18 лет (гл. 41 ТК РФ) или лиц с семейными обязанностями (гл. 42 ТК РФ) работодателю потребуется информации о возрасте работника, о наличии у него детей.

Получение информации о работнике может быть не только правом работодателя, но и его обязанностью, предусмотренной как трудовым правом, так и нормативными правовыми актами другой отраслевой принадлежности.

Например, налоговое законодательство, наделяя работодателя статусом налогового агента и возлагая на него обязанности по исчислению, удержанию у работника как налогоплательщика налогов и перечислению их в соответствующие бюджеты или внебюджетные фонды, обязывает работодателя учитывать целый комплекс сведений о работнике.

Сходные обязанности по сбору информации о работнике возлагает на работодателя Федеральный закон от 1 апреля 1996 г. № 27-ФЗ

«Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования» (действует в ред. от 9 мая 2005 г.).

В результате всего этого у работодателя концентрируется значительный объем разнообразной информации о работнике, совокупность которой и образует его персональные данные, защита которых входит в число обязанностей работодателя как обладателя персональных данных работника, осуществляющего их сбор, хранение, использование, передачу третьим лицам. 10

Ограничение персональных данных от другой информации

С момента появления персональных данных как категории в российском законодательстве в 1995 г. в Федеральном законе «Об информации, информатизации и защите информации» персональные данные сразу же были отнесены к разряду конфиденциальной информации, т.е. информации ограниченного доступа 11 . Принятый впоследствии Указ Президента РФ «Об утверждении Перечня сведений конфиденциального характера» 12 также содержит их упоминание в качестве конфиденциальной информации. Действующий ныне Федеральный закон «Об информации, информационных технологиях и о защите информации» 13 аналогичным образом говорит о персональных данных в статье об ограничении доступа к информации, однако прямо не называет их в качестве конфиденциальной информации или информации ограниченного доступа, указывая лишь на особый порядок доступа к ним, предусмотренный специальным законом. Федеральный закон «О персональных данных» 14 , что интересно, также не характеризует персональные данные в целом как конфиденциальную информацию, даже более того, наряду с просто определением «персональных данных» содержит определение «общедоступных персональных данных» – термин, который невозможно логически соотнести с информацией ограниченного доступа.

В ст. 4 Закона содержится определение «конфиденциальности персональных данных», которая заключается в их нераспространении, т.е. недопущении действий, направленных на передачу и ознакомление с персональными данными третьими лицами, их опубликование, размещение в отрытом доступе. Соблюдение конфиденциальности не требуется в случае обработки общедоступных персональных данных и в случае их обезличивания, т.е. утраты всякой связи с субъектом, что не позволяет, по-видимому, их в дальнейшем вообще рассматривать в качестве персональных данных. Следовательно, рассматривать персональные данные в целом как информацию ограниченного доступа вряд ли представляется возможным, скорее, было бы правильным ввести в таком случае в оборот категорию «конфиденциальные персональные данные». В итоге из всей массы персональных данных это позволило бы выделить те из них, на которые законодательством распространяется требование соблюдения конфиденциальности. Исключением из правила следует считать случаи, упомянутые в ч. 2 ст. 1 Закона – персональные данные, составляющие государственную тайну, хранящиеся в архивах, находящиеся в едином реестре индивидуальных предпринимателей и юридических лиц, обрабатываемые исключительно для бытовых нужд. На часть из них будет распространяться другой режим ограничения доступа – режим государственной тайны. В отношении двух других случаев будут действовать совершенно другие правовые режимы, в рамках которых говорить об ограничении доступа к персональным данным в полной мере невозможно. Законодательство об архивном деле предусматривает общий запрет на доступ к информации о частной жизни лица, его личной и семейной тайне, о чем можно судить на основании п. 3 ст. 25 Федерального закона «Об архивном деле в РФ» 15 , учитывая, что ни того, ни другого определения законодательно не существует. Сведения единых государственных реестров юридических лиц и индивидуальных предпринимателей являются на основании закона общедоступными, за исключением паспортных данных физических лиц (но не в случае индивидуальных предпринимателей) и информации о банковских счетах юридических лиц, индивидуальных предпринимателей 16 . Последний упомянутый случай исключения из правового режима конфиденциальности персональных данных, когда речь идет об их обработке для личных бытовых нужд, следует рассматривать как достаточно спорный. Вероятно, в таком случае сложно вести речь о конфиденциальности таких персональных данных в полной мере, но можно говорить о существовании общего требования об уважении прав и свобод субъекта персональных данных, в первую очередь права на уважение частной жизни, личную и семейную тайну, при их обработке, установленного Конституцией РФ в ст. 23 и 24 17 .

Возвращаясь, собственно, к режиму конфиденциальности персональных данных, установленному Законом, следует сказать, что его суть, по аналогии с другими видами информации ограниченного доступа, должна заключаться в установлении особого порядка доступа к ним, их использования и распространения. Но в Законе (ст. 1 9) закреплено лишь крайне общее требование – предпринять организационные и технические меры по охране от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий. Технические меры, которые обязан предпринять оператор, можно считать достаточно определенными, поскольку действуют аналогичные нормативные положения, связанные с защитой иных видов конфиденциальной информации. Такая деятельность по защите конфиденциальной информации осуществляется путем лицензирования и сертификации средств защиты информации Федеральной службой по техническому и экспортному контролю, на основании соответствующих положений 18 . Но вот что касается организационных мер, то здесь совершенно отсутствуют какие-либо четкие указания на этот счет. По аналогии с другими категориями информации ограниченного доступа, такими, как государственная тайна 19 , коммерческая тайна 20 , служебная тайна (в том числе на основании находящегося на стадии рассмотрения в Государственной Думе РФ проекта Федерального закона «О служебной тайне» 21), к таким действиям логически следовало бы отнести:

Установление перечня персональных данных.

Установление круга субъектов, имеющих доступ к персональным данным.

Использование специального грифа и реквизитов, позволяющих в дальнейшем идентифицировать информацию как конфиденциальную, – «Конфиденциально».

Учет (регистрация) лиц, фактически получивших доступ к персональным данным.

Урегулирование отношений по охране конфиденциальности информации работниками и другими лицами на основании трудовых и гражданско-правовых договоров. 22

Во всех перечисленных случаях такие действия должны предприниматься своевременно (заблаговременно), и режим конфиденциальности/ секретности будет установлен в отношении информации, исключительно после принятия всех перечисленных мер. В отношении же персональных данных законодатель от такой четкой регламентации действий оператора по неясным причинам отказался. В частности, сформировать перечень персональных данных, обработка которых осуществляется конкретным оператором, представляется вполне возможным. Закон в ст. 5 указывает на то, что персональные данные не должны быть избыточными и превышать объем, необходимый для достижения заранее заявленных целей, а значит, их конкретный перечень можно и нужно сформировать заблаговременно. То же касается персональных данных, обработка которых разрешена на основании закона (персональные данные работников) или содержащихся в договорах между субъектом персональных данных и оператором (обработка персональных данных клиентов, потребителей, абонентов и т.д.). Хоть их обработка не требует соответствующего уведомления органа по защите прав субъектов персональных данных или согласия последнего их также необходимо было бы включить в рассматриваемый перечень. Использование специального грифа также дало бы возможность четкого обозначения той информации, на которую распространяется режим конфиденциальности персональных данных, установленный Законом.

Отдельно стоит рассмотреть проблему охраны конфиденциальности персональных данных в рамках трудовых отношений. По аналогии с другими видами конфиденциальной информации, такие положения необходимо включать в трудовые договоры с работниками, имеющими доступ к конфиденциальным персональным данным. То же касается предупреждения работников о возможной ответственности за передачу, распространение персональных данных, обязанность работников при увольнении передать все носители и другие материальные объекты, содержащие персональные данные, работодателю, обязанность работника сохранять конфиденциальность персональных данных ставших ему известными при исполнении трудовой функции, после расторжения трудового договора и т.д. К сожалению, Закон не содержит ни одного из указанных положений и, более того, в принципе не выделяет работника, т.е. физическое лицо, которое непосредственно при исполнении своих трудовых обязанностей осуществляет эксплуатацию информационной системы, базы/ банка персональных данных и имеет к ним прямой доступ.

Аналогичная ситуация сложилась в вопросе доступа к информационным системам, базам/банкам персональных данных третьих лиц на основании гражданско-правовых договоров, в частности договоров/ о технической поддержке, направленных на обеспечение бесперебойного функционирования информационных систем, баз/банков персональных данных, и других подобных случаях.

Учет данных рекомендаций позволил бы разрешить множество вопросов, связанных с привлечением к юридической ответственности виновных лиц, и в большей степени ее дифференцировать. Поскольку, по аналогии с другими видами конфиденциальной информации, чаще всего субъектом ответственности является специальный субъект, т.е. лицо, имеющее допуск/ доступ к ней на законном основании и принявшее в добровольном порядке на себя обязательства по сохранению конфиденциальности.

Отметим еще один существенный аспект, связанный с охраной конфиденциальности персональных данных. Основным «конфидентом» в отношении персональных данных, на основании Закона следует считать «оператора», а в некоторых случаях третьих лиц, которые получили к ним доступ. При этом сам субъект персональных данных, являясь одним из участников отношений по охране их конфиденциальности, такой обязанности по закону не несет. Более того, он обладает рядом «эксклюзивных прав» – правом доступа к своим персональным данным, включая право требовать их уточнения, а также, что самое главное, вправе в любой момент снять режим конфиденциальности – согласиться на их общедоступность, сообщить их или передать их третьим лицам, другим операторам, и в целом распорядиться ими по своему усмотрению. Однако оператор, как конфидент, предположительно, обязан сохранять иногда конфиденциальность персональных данных, ставших фактически общеизвестными. К примеру, если они стали таковыми без согласия субъекта в результате противоправных действий, предположим, путем публикации в СМИ. В таких случаях требовать дальнейшего сохранения конфиденциальности информации в большинстве случаев было бы просто нелогично, поскольку эта информации стала общедоступной. Общедоступность же персональных данных четко обусловлена двумя условиями – это согласие субъекта или прямое требование закона (например, положения ст. 7 Федерального закона «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» 23 , предусматривающая идентификацию лица при совершении крупных сделок и передачу этой информации в соответствующие государственные структуры). Следовательно, ввиду отсутствия упомянутых выше двух условий в рассматриваемой ситуации, оператор по-прежнему был бы обязан сохранять их «конфиденциальность», как это ни парадоксально. В противном случае это было бы прямым нарушением прав субъекта, который мог пострадать, если бы информация о его частной или личной жизни, содержащаяся в персональных данных, стала предметом всеобщего обсуждения.

Часть указанных проблем в определении содержания правового режима конфиденциальности персональных данных можно объяснить особенностями природы персональных данных, которая тесным образом связана с правом на уважение частной жизни индивида, личную и семейную тайну. Некоторые российские авторы, например В.Н. Лопатин, в связи с этим прямо указывают на персональные данные как на институт охраны права на частную жизнь 24 . Такое положение дел объясняет необходимость особого подхода к персональным данным, при их обработке независимо от существования режима ограничения доступа к ним, поскольку их использование не должно нарушать общих фундаментальных прав индивида, таких, как право на частную жизнь, личную и семейную тайну.

Другая часть проблем объясняется тем, что персональные данные в случае наличия требования их конфиденциальности, которая обоснованно презюмируется, в том числе на основании последовательного анализа положений Закона, можно отнести к числу «производных» тайн 25 или категорий информации ограниченного доступа. Это, в свою очередь, требует от их обладателя принятия безусловных мер по охране их конфиденциальности, поскольку охраняются в данном случае не его права и интересы, а права и интересы других лиц, в частности фундаментальные права и свободы человека. Поэтому, по мнению авторов, в отсутствие прямого интереса обладателя в защите конфиденциальности персональных данных существует необходимость четкого формулирования его обязанности в этом случае.

Последнее, что стоит отметить при характеристике персональных данных как конфиденциальной информации, связано с их соотношением в таком качестве с другими категориями информации с ограниченным доступом, что может представлять некоторые сложности. С одной стороны, персональные данные связаны с необходимостью защиты частной жизни индивида, сферы, по мнению большинства современных авторов 26 , едва ли поддающуюся четкому определению, с другой стороны, почти все определения, в том числе и законодательное, характеризуют их как «любую информацию, которая может быть связана с индивидом или идентифицирована с ним», а следовательно, персональные данные могут охватывать практически все сферы жизни индивида. Совершенно очевидно, что ввиду такой сложной природы они могут потенциально охраняться на условиях других режимов конфиденциальности/секретности, в частности на условиях режима государственной тайны, коммерческой тайны, служебной тайны и многих видов профессиональных тайн (врачебной, нотариальной, тайны усыновления и т.д.). На подобный вывод наталкивает анализ целого ряда положений Закона, по смыслу которых персональные данные составляют одновременно: государственную тайну (ч. 2 ст. 1), личную, семейную тайну, тайну частной жизни (ст. 2, 12), врачебную тайну (п. 3–4 ч. 2 ст. 10 и ст. 12), тайну следствия (л. 6 ч. 2 ст. 10), тайну правосудия и оперативно-розыскной деятельности (ст. 11). Вполне очевидно, что за некоторым исключением в отношении такой информации будут действовать одновременно требования законодательства о защите персональных данных и иного специального законодательства.

В заключение выразим общее суждение о некотором несовершенстве российского Закона в части определения персональных данных в качестве информации ограниченного доступа или конфиденциальной, что было отмечено уже и другими авторами, в частности Н.И. Петрыкиной 27 . В качестве возможных путей совершенствования положений законодательства авторам видится целесообразным сформулировать следующие предложения и выводы.

Во-первых, стоит ввести в законодательную материю понятие «конфиденциальные персональные данные», т.е. персональные данные, на которые, в соответствии законом о персональных данных, распространяется специальный правовой режим ограничения доступа к ним – режим конфиденциальности персональных данных.

Во-вторых, следует выделить в законе о персональных данных основные организационные меры по установлению режима конфиденциальности персональных данных. К таковым мерам следует отнести: установление оператором перечня конфиденциальных персональных данных, обработку которых он осуществляет, определить круг субъектов, которые будут иметь доступ к ним, установить правила использования соответствующих реквизитов на материальных носителях, содержащих конфиденциальные персональные данные.

В-третьих, указать в законе о персональных данных в качестве субъектов отношений по охране конфиденциальности персональных данных, «обладателя» информационной системы, базы/банка персональных данных, и непосредственно «оператора» информационной системы, базы/банка персональных данных, т.е. лицо, которое на основании трудового или гражданско-правового договора осуществляет эксплуатацию, обслуживание такой информационной системы и имеет доступ к персональным данным. Определить особенности их правового статуса и ответственности.

Развитие законодательства о защите персональных данных

Институт персональных данных это достаточно молодой по правовым меркам институт. Его становление тесно связано с развитием конституционных прав и свобод человека и гражданина, и в первую очередь, с правом на неприкосновенность частной жизни.

Право на неприкосновенность частной сферы как юридическая категория зародилось в США. В английском языке все стороны частной жизни обозначаются единым термином «privacy», который не имеет буквального эквивалента в русском языке. Одна из первых попыток сформулировать суть понятия «privacy» была предпринята в 1890 г. известными американскими юристами Сэмюэлем Уорреном и Луисом Брандейсом, которые определили его как «the right to be alone» - право быть оставленным в покое или право быть предоставленным самому себе 28 . В своей статье «Право на приватность» в Гарвардском правовом журнале они утверждали, что приватность подвергается опасности со стороны новых изобретений и методов ведения бизнеса, и обосновывали необходимость создания специального «права приватности». С развитием научного и технического прогресса мы все более убеждаемся в справедливости указанных положений.

Огромную роль в становлении и формулировании права на частную жизнь сыграла деятельность американских судов. Так, в 1965 г. в деле Griswold v. Connecticut судья Верховоного суда США Дуглас вывел право на прайвеси из первых пяти поправок к Конституции США, признав, что эти поправки «охраняют различные аспекты неприкосновенности частной жизни». Широко известны слова, которые он произнес, резюмируя решение суда: «Мы имеем дело с правом на неприкосновенность частной жизни, которое старше, чем Билль о правах».

Сформированная в США концепция прайвеси оказала большое влияние на становление современной системы прав и свобод человека. 10 декабря 1948 года на Генеральной Ассамблеи ООН была утверждена Всеобщая Декларация прав человека, в статье 12 которой устанавливалось, что никто не может подвергаться произвольному вмешательству в его личную и семейную жизнь, произвольным посягательствам на неприкосновенность жилища, тайну его корреспонденции или на его честь и репутацию; каждый человек имеет право на защиту закона от такого вмешательства и таких посягательств 29 .

В 1950 году аналогичная норма была закреплена в статье 8 Европейской конвенции о защите прав человека и основных свобод в следующей формулировке: «каждый имеет право на уважение его личной и семейной жизни, его жилища и его корреспонденции». Благодаря данным документам право на неприкосновенность частной жизни получило признание в качестве неотъемлемого права каждого человек.

С развитием информационных технологий внимание и интерес к проблеме неприкосновенности частной жизни начали существенно усиливаться. Появились новые технологии и средства для сбора, хранения и обработки данных, касающихся как личной жизни индивидов, так и их публичной деятельности. В праве остро встал вопрос о принятии особых правил регулирования сбора и обработки персональных данных как все более популярного объекта хозяйственного оборота. В это время наиболее активное развитие норм о защите персональных данных наблюдается в Европе.

Принципы, заложенные в Европейской конвенции о защите прав и основных свобод, получили свое развитие в специальных нормах Конвенции 108 Совета Европы о защите прав физических лиц в отношении автоматической обработки персональных данных 1981 года, в которой защита данных рассматривается как защита основных прав и свобод индивидов, в частности, их права на неприкосновенность частной жизни в отношении обработки персональных данных.

Впоследствии в Директиве Европейского парламента и Совета Европейского союза от 24 октября 1995 г. №95/46ЕС о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных были заложены основы общеевропейской системы защиты персональных данных. В 2000 году в Хартии ЕС об основных правах право на защиту персональных данных было сформулировано в качестве самостоятельного фундаментального права.

Таковы основные этапы формирования нормативного механизма о защите персональных данных на европейском континенте. Заключительным этапом его формирования стало принятие национальных законов стран - участниц ЕС, направленных на регулирование вопросов защиты персональных данных.

Первый в мире специальный Закон о защите персональных данных был принят германской землей Гессен в 1970 г. До этого подобных законов нигде в мире не было. За последние 30 лет более чем в 20 европейских государствах были приняты нормативные акты по защите персональных данных, в которых были закреплены реальные механизмы правового регулирования оборота персональных данных. Следует отметить, что создание нормативных актов в данной сфере шло самостоятельно наряду с развитием законодательства о защите права на неприкосновенность частной жизни. 30

В России отдельные элементы права на неприкосновенность частной жизни законодательно закреплялись и анализировались еще в дореволюционный период. Так, Почтовый устав 1857г. и Телеграфный устав 1876г. закрепляли тайну корреспонденции, уголовно-правовая охрана указанной тайны осуществлялась на основании норм Уложения о наказаниях уголовных и исправительных 1845г., Уголовного Уложения 1903 г. Так, в Уголовном Уложении 1903г. (ст. 162-170) устанавливался запрет на вмешательство должностных лиц при отправлении ими правосудия в личную и семейную жизнь человека.

После революции подход к проблеме прав человека существенным образом изменился. Так, Конституция РСФСР 1918г., хотя и содержала раздел о правах человека под названием «Декларация прав трудящегося и эксплуатируемого народа» (декларация была принята ранее на III Всероссийском съезде Советов), но не закрепляла даже элементарных прав, минимума личных, политических, экономических, культурных прав человека. В нее вошли лишь запрет эксплуатации, право уравнительного землепользования, освобождение трудящихся масс из-под ига капитала, право трудящихся в управлении.

В 1924 г. была принята новая конституция – Конституция СССР, в которой уже не содержалось Декларации прав. Из прав человека в ней были провозглашены лишь национальная свобода, равенство, единое союзное гражданство. Наряду с этим в Конституции СССР отдельная глава была посвящена учреждению с целью борьбы с политической и экономической контрреволюцией, шпионажем и бандитизмом Объединенного государственного политического управления, которое руководило репрессиями, попирающими все человеческие права.

Впервые глава о правах и обязанностях граждан появилась в Конституции СССР принятой 5 декабря 1936г. накануне массовых репрессий 1937-1938гг. Конституция закрепляла широкий перечень личных прав и свобод таких, как свобода совести (ст. 124), неприкосновенность личности (ст. 127), неприкосновенность жилища и тайна переписки (ст. 128). В теоретическом плане это было серьезным достижением советского права, а в практическом – всего лишь формальностью.

Так, приказом НКВД СССР от 29 декабря 1939 г. было предписано стенографировать все без исключения международные телефонные разговоры сотрудников иностранных посольств и иностранных корреспондентов, а также решением директивных органов была введена цензура всей входящей и исходящей международной корреспонденции.

Не только международные связи контролировались органами государственной безопасности, внутри государства «большое место в контроле над человеком и обществом отводилось деятельности по использованию осведомителей».

Несмотря на очевидное нарушение такой практикой права на неприкосновенность частной жизни, подобные действия оправдываются государствами как необходимые меры обеспечения безопасности.

Уже в 1940-е гг., с расширением репрессивно-карательной политики по отношению к инакомыслящим, с ужесточением тоталитарного режима, проблема прав человека фактически была «закрыта».

Вновь вопрос о правах человека был поднят только в период политической «оттепели» конца 1950-х – начала 1960-х гг., когда в СССР появились первые теоретические исследования по политическим и правовым учениям.

В 1977г. в связи с ратификацией Международного пакта о гражданских и политических правах от 16 декабря 1966г. была принята новая Конституция СССР. Конституция СССР 1977г. стала первой и единственной за весь советский период конституцией, включавшей в отдельном разделе стандартный для развитых европейских стран комплекс гражданских, политических, экономических, социальных и культурных прав. Статьями 54-56 Конституции СССР 1977г. гражданам были гарантированы неприкосновенность личности, жилища, а также охрана законом личной жизни, тайны переписки, телефонных переговоров и телеграфных сообщений. В ст. 57 Конституции СССР 1977г. было оговорено, что уважение личности, охрана прав и свобод граждан - обязанность всех государственных органов, общественных организаций и должностных лиц.

Впервые в России право на неприкосновенность частной жизни как самостоятельное право было сформулировано в Декларации прав и свобод человека и гражданина, принятой накануне распада союзного государства Верховным Советом РСФСР 22 ноября 1991 года. В ней предусматривается запрет на сбор, хранение, использование и распространение информации о частной жизни лица без его согласия. Впоследствии данная норма будет закреплена в Конституции РФ 1993 года 31 .

В 1995 году Федеральным законом «Об информации, информатизации и защите информации» от 20 февраля 1995г. № 24-ФЗ впервые было законодательно закреплено понятие персональных данных. Согласно статье 2 указанного Федерального закона персональные данные - сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность. Кроме того, указанным законом устанавливались общие принципы сбора, использования информации о гражданах, согласно этому закону персональные данные были отнесены к информации конфиденциального характера.

Следует отметить, что разработка специального закона о защите персональной информации, началась в России еще до принятия Директивы Европейского Парламента и Совета Европы 95/46/ЕС 24 октября 1995 г. «О защите личности в отношениях обработки персональных данных и свободном обращении этих данных». Первоначальный проект закона с рабочим названием «Об информации персонального характера» разрабатывался в 1998 г. в Комитете по информационной политике и связи Государственной Думы РФ при участии рабочей группы экспертов в сфере информационного законодательства. Однако этот проект закона так и не был рассмотрен в Государственной Думе РФ. Затем по истечении более чем двух лет в Совете Безопасности РФ была сформирована другая рабочая группа, которой и был подготовлен проект принятого впоследствии Федерального закона «О персональных данных» от 27.07.2006г. №152-ФЗ 32 .

Основополагающие нормы, регулирующие отношения по поводу персональных данных, содержатся в Федеральном законе «О персональных данных». В соответствии с п. 1 ст. 3 этого Закона персональными данными является любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

В соответствии с ч. 1 ст. 85 Г К РФ под персональными данными работника понимается информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. Оценочный характер данного определения отражает лишь общий подход законодателя к категории персональных данных работника. Работодатель может собирать и обрабатывать не любую информацию о лице, являющемся его работником, а лишь ту, которая непосредственно связана с его трудовым правоотношением.

Общие требования к обработке персональных данных работника и гарантия их конфиденциальности

Концентрация у работодателя персонифицированной информации (персональных данных) о работнике предполагает ее обработку. По определению, данному в ч. 2 ст. 85 ТК РФ, обработка персональных данных - это получение, хранение, комбинирование, передача или любое другое использование персональных данных работника.

Из этой дефиниции следует, что обработка персональных данных работника охватывает все стадии работы с информацией о работнике - от получения и до передачи ее другим лицам.

Общие требования, подлежащие соблюдению при обработке персональных данных работника, а также гарантии их защиты установлены в целях обеспечения прав и свобод человека и гражданина в ст. 86 ТК РФ, которая включает в себя девять пунктов, каждый из которых формулирует одно из требований, отнесенных к категории общих.

Так, п. 1 ст. 86 ТК РФ требует, чтобы обработка персональных данных работника осуществлялась исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. Аналогичным образом решается вопрос о целях сбора персональных данных и в системе государственной службы. Так, в утвержденном Указом Президента РФ от 30 мая 2005 г. № 609 Положении о персональных данных государственного гражданского служащего Российской федерации и ведении его личного дела на этот счет сказано, что при получении, обработке, хранении и передаче персональных данных гражданского служащего кадровая служба государственного органа обязана соблюдать требования, перечень которых приводится в ст. 5 данного Указа.

Первое из таких требований гласит, что обработка персональных данных гражданского служащего осуществляется в целях обеспечения соблюдения конституции Российской Федерации, федеральных законов и иных нормативных правовых актов Российской Федерации, содействия гражданскому служащему в прохождении государственной гражданской службы Российской Федерации, в обучении и должностном росте, обеспечения личной безопасности гражданского служащего и членов его семьи, а также в целях обеспечения сохранности принадлежащего ему имущества и имущества государственного органа, учета результатов исполнения им должностных обязанностей. 33

Пункт 2 ст. 86 ТК РФ устанавливает, что при определении объема и содержания обрабатываемых персональных данных работника работодатель должен руководствоваться Конституцией Российской Федерации 34 , Трудовым кодексом Российской Федерации и иными федеральными законами.

Данное требование следует рассматривать как ограничивающее право работодателя самому определять объем и характер сведений о работника, которые необходимы ему для организации эффективных трудовых отношений с работником. Собирая информацию о работнике, работодатель не должен выходить за пределы, установленные Конституцией Российской Федерации, Трудовым кодексом Российской Федерации и иными федеральными законами.

Так, работодатель не должен нарушать гарантированные Конституцией Российской Федерации права и свободы человека и гражданина и требовать от работника информацию, нарушающую его право на неприкосновенность частной жизни, личную и семейную тайну (ст. 23), самостоятельно определять и указывать свою национальную принадлежность (ст. 26).

В Трудовом кодексе Российской Федерации объем и характер персональной информации о работнике, которую работодатель должен получить, определяются ст. 65, которая устанавливает перечень документов, представляемых гражданином работодателю при поступлении на работу, и запрещает требовать от лица, поступающего на работу, иные документы помимо предусмотренных Трудовым кодексом Российской Федерации, иными федеральными законами, указами Президента и постановлениями Правительства Российской Федерации.

Как уже отмечалось, из этих документов работодатель может почерпнуть информацию о фамилии, имени, отчестве работника, его возрасте, дате и месте рождения, месте жительства, о наличии или отсутствии у него детей, семейных обязанностей, о трудовом стаже, регистрации в системе государственного пенсионного страхования, состоянии на воинском учете, об образовании, квалификации, наличии специальных знаний и т.д.

ГЛАВА II. ПОРЯДОК РАБОТЫ С КОНФЕДЕНЦИАЛЬНЫМИ СВЕДЕНИЯМИ О РАБОТНИКЕ

Конфиденциальными называются документы, содержащие сведения, известные только определенному кругу лиц, не подлежащие огласке, доступ к которым ограничен.

К конфиденциальным относятся документы, имеющие гриф ограничения доступа: «конфиденциально», «коммерческая тайна», «для служебного пользования».

Законодательством РФ предусмотрена ответственность за несанкционированный доступ, разглашение или продажу сведений, имеющих подобные грифы.

Сотрудники, допущенные к конфиденциальным документам, должны пройти инструктаж и ознакомиться с инструкцией по работе с конфиденциальными документами.

Организация делопроизводства, обеспечивающего сохранность и учет конфиденциальных документов, предусматривает:

назначение должностного лица, ответственного за их учет, хранение и использование;

порядок подготовки и размножения документов;

отдельную регистрацию документов;

формирование дел;

организацию выдачи и хранения документов;

проверку наличия документов;

архивное хранение и порядок уничтожения.

Отпечатанные и подписанные документы передаются для регистрации должностному лицу, ответственному за их учет. Черновики, варианты документа, файлы уничтожаются с подтверждением факта уничтожения записью на копии документа.

Размножение конфиденциальных документов производится:

с разрешения руководства предприятия;

с ограниченным количеством копий;

в специально выделенном помещении;

в присутствии должностного лица, ответственного за документ;

с немедленным уничтожением бракованных копий.

Конфиденциальные документы должны регистрироваться отдельно от остальной документации в «Журнале регистрации конфиденциальных документов».

Листы журналов регистрации нумеруются, прошиваются, опечатываются, указывается их общее количество (цифрами и прописью) в заверительном листе.

Все поступающие конфиденциальные документы принимаются и вскрываются специально назначенным должностным лицом.

При поступлении проверяется: количество листов; количество экземпляров; наличие приложений к документу.

Конфиденциальные документы формируются в отдельное дело, которое должно иметь: гриф ограничения доступа; список сотрудников, имеющих право пользоваться этим делом; нумерацию листов; внутреннюю опись документов; заверительный лист.

Хранение дел с конфиденциальными документами производится в опечатываемом сейфе, в специально отведенном помещении, оснащенном средствами охраны.

Выдача и возврат конфиденциальных документов должны отражаться в «Журнале учета выдачи конфиденциальных документов».

При выдаче документа сверяется номер документа с номером в журнале; сверяется количество листов; ставится подпись получателя документа и дата.

При возврате документа сверяется номер документа с номером в журнале; сверяется количество листов; ставится отметка о возврате; ставится подпись получателя документа и дата возврата.

Запрещается:

изъятие конфиденциальных документов из дел;

перемещение их одного дела в другое без разрешения руководства и отметок в «Журнале учета выдачи конфиденциальных документов»;

несанкционированный вынос конфиденциальных документов из офиса. Конфиденциальный документ личный состав регистрационный индекс.

Проверка наличия конфиденциальных документов проводится с целью обеспечения их сохранности; предотвращения утечки конфиденциальной информации.

При установлении факта утраты конфиденциального документа:

ставится в известность руководитель предприятия:

служба безопасности;

принимаются меры к розыску документа.

На утерянный документ составляется акт, вносится соответствующая отметка об утрате в «Журнале регистрации конфиденциальных документов».

Экспертная комиссия предприятия ежегодно отбирает конфиденциальные документы для архивного хранения или уничтожения.

Архивное хранение конфиденциальных документов производится в опечатанных коробках, в помещениях, исключающих несанкционированный доступ.

Уничтожение конфиденциальных документов производится с составлением акта, утверждаемого руководителем предприятия; в присутствии комиссии; с помощью специальной машины (шредера) или иным способом, исключающим возможность восстановления имеющейся в них информации.

Специфика защиты персональных данных лиц, осуществляющих свою профессиональную деятельность на основании трудового договора, проявляется в том, что основополагающие требования по обработке персональных данных устанавливаются нормами федерального законодательства, а порядок осуществления отдельных операций с персональными данными работника (сбор, хранение, использование, распространение) может детализироваться в локальных правовых актах. В соответствии с абз. 7 ч. 1 ст. 22 ТК РФ за работодателями закреплено право принимать локальные нормативно-правовые акты, в которых могут быть отражены вопросы защиты конфиденциальной информации. 35

Одним из таких локальных нормативно-правовых актов является Положение о персональных данных. Положение определяет основные требования к порядку получения, хранения, комбинирования, передачи или любого другого использования персональных данных работника в связи с трудовыми отношениями в организации.

Разработка и использование эффективной системы обеспечения безопасности персональных данных работников является одной из важных частей системы управления безопасностью персонала, системы охраны жизни и здоровья работников. 36

Основным документом, регламентирующим отношения между работодателем и работником, является трудовой договор, при заключении которого следует учитывать положения Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" 37 . Он вступил в силу с 1 января 2007 года и регулирует отношения в области сбора, изменения и передачи сведений федеральными органами государственной власти РФ и ее субъектов, а также юридическими и физическими лицами с использованием средств автоматизации и без них. Цель этого закона - защита прав и свобод человека при обработке его персональных данных, в том числе прав на неприкосновенность частной жизни, личную и семейную тайну.

Согласно ст. 2 Закона о персональных данных любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе: 38

фамилия, имя, отчество;

год, месяц, дата и место рождения;

семейное, социальное, имущественное положение;
образование;
профессия;
доходы и другая информация, признаются персональными данными.

Этот перечень не является закрытым - в него можно включить практически все сведения о работнике, которые получает работодатель.

Помимо этого ст. 10 и 11 Закона о персональных данных установлены специальные данные, в отношении которых действуют повышенные меры защиты от несанкционированной обработки и распространения. Это информация, касающаяся:

расовой, национальной принадлежности;

политических взглядов, религиозных или философских убеждений;

состояния здоровья, интимной жизни физического лица, а также биометрические персональные данные - сведения, характеризующие физиологические особенности человека. 39

Принципы и условия обработки информации

Обработка персональных данных включает все действия и операции с ними, в том числе сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (передачу), обезличивание, блокировку и уничтожение. Согласно закону это обычные хозяйственные операции учреждения, с которыми часто сталкивается как руководитель, так и бухгалтерская служба.

В соответствии с п. 1 ст. 6 Закона о персональных данных обработка данных возможна только с согласия работника. Поэтому при оформлении сотрудника на работу необходимо получить от него письменное заявление о согласии на обработку данных. В таком заявлении работник в обязательном порядке должен сообщить:

фамилию, имя, отчество, свой адрес, номер документа, удостоверяющего личность, сведения о дате выдачи и органе, его выдавшем;

наименование и адрес учреждения, которое получило согласие на использование персональных данных;

цель обработки данных;

перечень персональных данных, на обработку которых согласен работник;

перечень действий, на которые дается согласие, общее описание используемых учреждением способов обработки сведений;

срок, в течение которого действует согласие, а также порядок его отзыва (п. 4 ст. 9 Закона о персональных данных).

Представим образец заявления работника (см. приложение).

В процессе трудовой деятельности любой работник может столкнуться с пристальным вниманием со стороны злоумышленников или конкурентов - как своих, так и конкурентов организации, в которой он работает. Статья посвящена вопросам обеспечения безопасности персонала на основе защиты персональных данных работников.

Безопасность собственного персонала - это одно из тех направлений, которое должно быть обеспечено организацией в первую очередь.

Безопасность персонала - это состояние защищенности работников - самого важного ресурса предприятия - от внешних и внутренних угроз, нанесения материального, морального или физического вреда в результате случайных или преднамеренных действий.

Управление безопасностью персонала является сложной проблемой, которая представляет собой управление комплексом организационных и технических мероприятий, снижающих угрозы безопасности персонала на предприятиях. 40

Приведем примерный перечень некоторых потенциальных угроз персоналу: 41

прямое переманивание конкурентами ведущих руководителей и специалистов;

вербовка сотрудников конкурирующими и криминальными структурами, а в отдельных случаях - правоохранительными органами;

шантаж или прямые угрозы в адрес конкретных сотрудников с целью склонения их к нарушению доверия со стороны работодателя (т. е. к совершению различных должностных нарушений);

покушения на сотрудников (прежде всего высших руководителей) и членов их семей.

Подобные угрозы могут быть реализованы в любой организации и по отношению к любому сотруднику, к которому по той или иной причине появился интерес со стороны злоумышленников. Осуществление подобных угроз возможно за счет знания злоумышленниками персональной информации, личных специфических данных о работнике.

Работа кадровых служб всегда связана с накоплением, формированием, обработкой и использованием значительных объемов сведений о всех категориях сотрудников. Эти сведения относятся к персональным данным, которые по своей сути отражают личную и семейную тайну работников, их частную жизнь и входят в круг информации, подлежащей защите от несанкционированного доступа. Бесконтрольное распространение персональных данных может нанести значительный ущерб как физическому лицу - субъекту персональных данных, так и организации, в стенах которой произошла утечка конфиденциальной информации.

В организации защиты персональных данных на локальном уровне особое внимание должно быть уделено элементарным требованиям по правильной, грамотной, квалифицированной кадровой работе, профессиональному уровню подготовки и информационно-правовой культуре сотрудников кадровых подразделений. Несоблюдение сотрудниками кадровых подразделений организационных условий, направленных на защиту персональных данных работников, может способствовать образованию каналов утечки конфиденциальной информации.

Основные аспекты передачи персональных данных работника и защита информации при работе с персональными данными на ЭВМ

Установленные в ст. 86 ТК РФ общие требования при обработке персональных данных работника призваны обеспечивать безопасное хранение и использование работодателем конфиденциальной информации о работниках. Основное назначение этих требований - обеспечение соблюдения конституционных прав работников на неприкосновенность персонифицированных сведений о них. Эти общие требования работодатель должен знать и учитывать прежде всего при разработке правил их получения, обработки, хранения, использования, передачи третьим лицам. 42

Возложив на работодателя обязанность разработать и ввести в действие указанные правила, ст. 87 ТК РФ определила, что эти правила устанавливаются работодателем с соблюдением требований Трудового кодекса Российской Федерации и иных федеральных законов. Они должны обеспечивать соблюдение законодательства при хранении персональных данных работника, недоступность этих сведений для лиц, которые не имеют допуска к работе с документами и другими источниками информации о личности работника.

Все документы и материалы, содержащие персональные данные работника, в своей совокупности образуют его личное дело. В него помещаются заявление работника о приеме на работу, его анкета, копии документов об образовании, квалификации, приказ (распоряжение) о принятии на работу, экземпляр трудового договора, все предусмотренные нормативными актами стандартные унифицированные формы первичной учетной документации по кадровой работе и по учету труда и его оплаты. 43 В дело помещается также заявление работника об увольнении, материалы, явившиеся основанием расторжения трудового договора или его прекращения, приказ (распоряжение) работодателя, которым прекращены трудовые отношения с работником.

Общий порядок ведения и хранения личного дела работника устанавливает работодатель, а ведут его, как правило, работники отделов кадров или иных служб работодателя. Для них работодателем устанавливаются специальные обязанности по обеспечению сохранности и конфиденциальности информации, образующей персональные данные работников. Эти обязанности должны быть включены в трудовые договоры работников, трудовой функцией которых является обработка персональных данных работников.

Разрабатывая и принимая правила хранения и использования персональных данных работников, работодатель должен установить сроки хранения различных документов и материалов, как образующих личное дело работника, так и не вошедших в него. 44 При этом работодатель должен учитывать, что сроки хранения наиболее важных документов, содержащих персональные данные работников, определяются различными нормативными актами, среди которых можно назвать Перечень типовых управленческих документов, образующихся в деятельности организаций, с указанием сроков их хранения, утвержденный руководителем Федеральной архивной службы России 6 октября 2000 г.

В частности, в соответствии с этим Перечнем личные дела (заявления, автобиографии, копии приказов и выписки из них, копии личных документов, характеристики, листки по учету кадров, анкеты, аттестационные листы и др.) руководителя организации, членов руководящих, исполнительных, контрольных органов организации, а также работников, имеющих государственные и иные звания, премии, награды, ученые степени и звания, хранятся постоянно.

Аналогичные документы других работников хранятся 75 лет.

Также в течение 75 лет хранятся не вошедшие в состав личных дел трудовые договоры, характеристики, личные карточки, другие материалы (в том числе временных работников).

Трудовые книжки и дубликаты трудовых книжек, не полученные работниками при увольнении либо в случае смерти работника не полученные его ближайшими родственниками, хранятся в течение двух лет в кадровой службе работодателя отдельно от остальных трудовых книжек. По истечении указанного срока невостребованные трудовые книжки хранятся в архиве организации в течение 50 лет, после чего подлежат уничтожению в установленном порядке.

Документы лиц, не принятых на работу (анкеты, автобиографии, листки по учету кадров, заявления, рекомендательные письма, резюме и др.), хранятся работодателем один год. 45

В течение действия трудового договора с работником, а также в течение сроков хранения документов, содержащих персональные данные о работнике, эти данные используются работодателем, в том числе передаются другим лицам, в результате чего информация о работнике может получить широкое распространение.

По общему правилу, закрепленному в ст. 88 ТК РФ, передача работодателем персональных данных работника другим лицам допускается только при наличии добровольного волеизъявления работника, подтвержденного его письменным заявлением. Исключения из этого правила могут предусматриваться Трудовым кодексом Российской Федерации и иными федеральными законами, например, с целью обеспечения безопасности работников.

В целом ст. 88 ТК РФ «Передача персональных данных работника» устанавливает семь требований, которые работодатель должен соблюдать при передаче информации о работнике другим лицам. 46

Первое из таких требований запрещает работодателю сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных Трудовым кодексом Российской Федерации или иными федеральными законами.

Из этого следует, что работодатель может сообщать персональные данные работника третьему лицу только с письменного согласия работника. Без такого согласия работодатель может сообщать персональные данные работника третьему лицу только в двух случаях: а) когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, например, передача сведений о группе крови лица, находящегося в тяжелом состоянии; б) в других случаях, предусмотренных федеральным законодательством. 47

Так, федеральными законами предусмотрено обязательное направление работодателем соответствующей информации о своих работниках в Фонд социального страхования, в Пенсионный фонд, в налоговые органы, в органы государственного надзора и контроля за соблюдением законодательства о труде, в органы исполнительной власти и профессиональных союзов, участвующих в расследовании несчастных случаев на производстве, в суд, прокурору, в органы предварительного следствия и дознания.

В соответствии со ст. 357 ТК РФ государственные инспекторы труда при осуществлении надзорно-контрольной деятельности имеют право запрашивать у работодателей и безвозмездно получать от них документы и информацию, необходимые для выполнения надзорных и контрольных функций, включая персональные данные работников.

По предписанию, содержащемуся в ч. 2 ст. 228 ТК РФ, при несчастном случае на производстве, вызвавшим причинение вреда здоровью двум человекам и более или со смертельным исходом, работодатель (его представитель) в течение суток обязан направить об этом необходимую информацию: в соответствующую государственную инспекцию труда; в прокуратуру по месту происшествия несчастного случая; в федеральный орган исполнительной власти по ведомственной принадлежности и в орган исполнительной власти субъекта Российской Федерации; в организацию, направившую работника, с которым произошел несчастный случай; в территориальные объединения организаций профсоюзов; страховщику по вопросам обязательного социального страхования от несчастных случаев на производстве и профессиональных заболеваний.

Эту информацию в те же органы при несчастном случае направляет любой работодатель - как организация, так и физическое лицо. 48

Второе требование, содержащееся в ст. 88 ТК РФ, запрещает работодателю сообщать персональные данные работника в коммерческих целях без его письменного согласия.

Важность персональных данных работника, как и любого гражданина, с точки зрения их коммерческой и иной значимости трудно переоценить. Они всегда пользовались спросом и в деятельности государства, которое собирало сведения о своих гражданах в разнообразных информационных банках, и кредиторами, и работодателями, которые запрашивали или требовали от граждан самую разную информацию о них - имя, дату и место рождения, адрес места жительства, наличие семьи, образования и т.д.

С наступлением эры компьютеров и телекоммуникационных технологий конфиденциальная информация, образующая персональные данные гражданина, становится практически общедоступной. Снижение затрат времени и финансовых средств на ее получение сделало подобную информацию объектом бизнеса, доходным видом предпринимательской деятельности (не всегда законной). Об этом свидетельствует наличие на компьютерных рынках большого количества различных баз данных, содержащих информацию персонального характера о гражданах как абонентах телефонных сетей, владельцах автомототранспортных средств, собственниках недвижимого имущества, налогоплательщиках. В них приводятся достаточно полные сведения о лице, дате и месте рождения, месте жительства, информация о заболеваниях, привычках, увлечениях, пристрастиях и др. 49

Информация о работнике в коммерческих целях может предоставляться работодателем партнерам по бизнесу как о своих представителях, чтобы обеспечить доверие к ним со стороны контрагента. Об объеме и характере такой информации работник должен быть осведомлен, поскольку анализируемая норма требует для использования персональной информации в коммерческих целях получение письменного согласия работника.

Третье требование обязывает работодателя предупредить лиц, получающих от него персональные данные работника, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено.

Лица, получающие персональные данные работника, обязаны соблюдать режим секретности (конфиденциальности) обработки и использования полученной информации. Данное положение не распространяется на обмен персональными данными работников в порядке, установленном Трудовым кодексом Российской Федерации и иными федеральными законами.

В четвертых, работодатель обязан обеспечить осуществление передачи персональных данных работника в пределах одной организации, у одного индивидуального предпринимателя в соответствии с локальным нормативным актом, с которым работник должен быть ознакомлен под подпись.

Такие локальные нормативные акты могут разрабатываться в качестве самостоятельного документа (положения, инструкции) или в качестве приложения к коллективному договору. Они должны учитывать действующее законодательство, инструкции и положения, касающиеся допуска граждан к сведениям, относящимся к государственной и иным видам тайны.

Пятое требование, предусмотренное в ст. 88 ТК РФ, устанавливает, что работодатель должен разрешать доступ к персональным данным работников только специально уполномоченным лицам. При этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций.

Без дополнительного разрешения к документам, содержащим персональные данные работника, допускаются только лица, представляющие такие документы, их исполнители, работники, которые визировали, подписывали или утверждали документ, а также лица, указанные или названные в тексте документа.

Шестое требование гласит, что работодатель не вправе запрашивать информацию о состоянии здоровья работника, за исключением тех сведений о его здоровье, которые необходимы для рассмотрения вопроса и принятия решения о возможности выполнения работником конкретной трудовой функции, обусловленной трудовым договором.

Информация о состоянии здоровья гражданина составляет врачебную тайну. Передача ее кому бы то ни было допускается только с согласия работника или его законного представителя. Исключение составляют случаи, когда информация о состоянии здоровья работника передается работодателю при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений или при наличии оснований, позволяющих полагать, что вред здоровью гражданина причинен в результате противоправных действий. Информация о состоянии психического здоровья гражданина может передаваться работодателю лишь в случаях, установленных федеральными законами, например, законом «О психиатрической помощи и гарантиях прав граждан при ее оказании».

Работодателю информация о состоянии здоровья работника, необходимая для решения вопроса о возможности выполнения им конкретной трудовой функции, представляется в форме медицинского заключения с выводом о соответствии или несоответствии работника по состоянию здоровья конкретной должности или виду работы.

Наконец, седьмое требование, предусмотренное в ст. 88 ТК РФ, гласит, что работодатель обязан передавать персональные данные работника представителям работников в порядке, установленном Трудовым кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.

Представители работников, например, выборный профсоюзный орган, применительно к получению персональных данных работника являются третьей стороной. Поэтому передача работодателем им данной информации осуществляется в соответствии с ограничениями и правилами, установленными ст. 88 ТК РФ. Представители работников обязаны соблюдать режим конфиденциальности полученных ими персональных данных работника. 50

Круг информации о работнике, передаваемой представителям работников, определяется функциями и полномочиями представителей. Общей функцией любого представителя работников в сфере трудовых отношений является участие в коллективных переговорах по заключению коллективного договора, при разрешении коллективных трудовых споров, при защите работника в процессе индивидуального трудового спора. Поэтому персональная информация о работниках может служить выработке условий коллективного договора, разрешению коллективного конфликта, принятию решения по индивидуальному трудовому спору, обеспечению интересов данного работника, улучшению условий работы всем или отдельным категориям работников. 51

Важная роль в защите персонифицированной информации о работнике отводится и самому работнику как стороне трудового договора. В целях обеспечения защиты персональных данных, хранящихся у работодателя, ст. 89 ТК РФ наделяет работников правом: 52

на полную информацию об их персональных данных и обработке этих данных;

свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;

определение своих представителей для защиты своих персональных данных;

доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору;

требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований настоящего Кодекса или иного федерального закона. При отказе работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;

требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;

обжалование в суд любых неправомерных действий или без действия работодателя при обработке и защите его персональных данных.

Предусматривая права и обязанности сторон трудового договора, направленные на защиту персональных данных работника, в ст. 90 ТК РФ «Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника» Кодекс устанавливает, что лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами. 53

Как можно заметить, данная норма носит отсылочно-бланкетный характер, так как отсылает к нормам трудового права, предусматривающим дисциплинарную ответственность, а также к нормам других отраслей права, устанавливающим правила получения, обработки и защиты персональных данных работника, за нарушение которых установлена административная, гражданско-правовая или уголовная ответственность.

По мнению авторов Комментария к Трудовому кодексу Российской Федерации 54 , перечень видов юридической ответственности, указанных в ст. 90 ТК РФ, не является исчерпывающим, поскольку лица, виновные в нарушении правил работы с персональными данными работника, также могут быть привлечены к материальной ответственности. Причем к материальной ответственности за виновное нарушение норм, регулирующих порядок получения, обработки и защиты персональных данных работника, могут привлекаться как работодатель, так и работники, непосредственно обрабатывающие персональные данные работников.

Административная ответственность в виде штрафа в размере от 5 до 10 минимальных размеров оплаты труда для должностных лиц, а для юридических лиц - от 50 до 100 или более минимальных размеров оплаты труда может наступить за совершение таких проступков, предусмотренных Кодексом Российской Федерации об административных правонарушениях, как:

отказ в предоставлении гражданину информации, собранных в установленном порядке документов, материалов, непосредственно затрагивающих его права и свободы, либо несвоевременное предоставление таких документов и материалов, непредоставление иной информации в случаях, предусмотренных законом, либо предоставление гражданину неполной или заведомо недостоверной информации (ст. 5.39);

нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) (ст. 13.11);

нарушение правил защиты информации, за исключением информации, составляющей государственную тайну (ст. 13.12);

незаконная деятельность в области защиты информации (ст. 13.13);

разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей (ст. 13.14 КоАП РФ).

Субъектами административной ответственности за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах и за нарушение правил защиты информации могут быть как работодатели - физические лица, так и работодатели - юридические лица (организации), их руководители и конкретные работники, исполняющие трудовые функции, связанные со сбором, хранением, использованием персональных данных работников. 55

Гражданско-правовая ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных работника, наступает в случае, если такое нарушение причиняет ущерб неотчуждаемым правам и свободам человека и другим нематериальным благам, к числу которых относятся честь и доброе имя, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна (ст. 2, 150 ГК РФ).

Гражданско-правовая ответственность может выражаться в возложении обязанности по возмещению имущественного ущерба или компенсации морального вреда. Например, моральный вред работнику может быть причинен в результате виновного распространения персональных данных работника, в случае представления третьим лицам недостоверной информации о работнике, содержащей сведения, порочащие его честь, достоинство, деловую репутацию.

Компенсация морального вреда и защита чести, достоинства и деловой репутации работника осуществляется по основаниям, установленным ст. 151, 152 ГК РФ, в порядке гражданского судопроизводства.

Уголовная ответственность за нарушение правил работы с персональными данными работника может наступить при условии, если это нарушение содержит признаки состава какого-либо преступления против конституционных прав и свобод человека.

Среди них может быть нарушение неприкосновенности частной жизни (ст. 137 УК РФ), выражающееся в незаконном собирании или распространении сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо в распространении этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации, если эти деяния совершены из корыстной или иной личной заинтересованности и причинили вред правам и законным интересам граждан. Наказывается это преступление штрафом до 200 000 руб. (ч. 1) или штрафом до 300 000 руб. (ч. 2), если оно совершено с использованием служебного положения, либо иными наказаниями, альтернативно предусмотренными в санкциях ч. 1 и 2 ст. 137 УК РФ.

Другим преступлением в этой сфере является отказ в предоставлении гражданину информации. В соответствии со ст. 140 УК РФ данное преступление выражается в неправомерном отказе должностного лица в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан.

Наказывается это преступление штрафом в размере до 200 000 руб. или в размере заработной платы или иного дохода осужденного за период до 18 месяцев либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет.

Как отмечает А.М. Лушников, лица, виновные в нарушении законодательства об обработке персональных данных работника, могут быть привлечены к уголовной также по ст. 129 УК РФ за клевету, если представители работодателя допустят при обработке персональных данных работника распространение о нем заведомо ложных сведений, порочащих его честь и достоинство или деловую репутацию, а также по ст. 130 УК РФ, если при обработке персональных данных работника будет допущено унижение его чести и достоинства в неприличной форме, например с использованием нецензурной брани. 56

Неправомерный доступ к охраняемой законом компьютерной информации, в электронно-вычислительной машине, системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию или копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети – наказывается штрафом, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет. 57

Как известно реализация Федерального закона № 152-ФЗ неоднократно откладывалась. Дело в том, что достижение соответствия ФЗ требует внедрения новых ИТ-продуктов, принятия организационных мер и модернизации бизнес-процессов компании. Но наибольшие сложности у российских специалистов вызывают сами требования закона, а точнее – их неконкретность. Исполнение некоторых требований стало практически невыполнимой задачей, поскольку для этого требуются немалые финансовые, технические и организационные ресурсы. Так, согласно сделанным расчетам защита персональных данных в соответствии с законом требует увеличения финансовых средств в 3-5 раз.

Технические меры по защите информации подразумевают: 58

средства защиты информации от несанкционированного доступа (НСД) (системы разграничения доступа к информации; антивирусная защита; межсетевые экраны; средства блокировки устройств ввода-вывода информации, криптографические средства и т.п.);

средства защиты информации от утечки по техническим каналам (использование экранированных кабелей; установка высокочастотных фильтров на линии связи; установка активных систем зашумления и т.д.).

Все программные средства по защите информации должны пройти оценку соответствия в установленном порядке.

Следовательно, для того, чтобы обеспечить соблюдение требований Федерального закона № 152 – ФЗ придется существенно изменить работу с информацией и документацией, содержащих персональные данные.

Действия по реализации требований Федерального закона № 152-ФЗ включают в себя:

1. Проведение инвентаризации всех систем обрабатывающих персональные данные.

2. Наличие согласий субъектов на обработку их персональных данных.

3. Формирование перечня персональных данных, оценка законности обработки ПД.

5.Формирование документов, регламентирующих работу с персональными данными.

6. Формирование модели угроз, содержащих актуальные угрозы информационной безопасности персональных данных при их обработке.

7. Определение класса ИСПД и выработка решений по снижению класса информационной системы. Порядок проведения классификации информационных систем утвержден совместным Приказом ФСТЭК РФ, ФСБ РФ и Министерства информационных технологий и связи РФ от 13.02.2008 г. № 55/86/20. Цель проведения классификации – установление методов и способов защиты информации, необходимых для обеспечения безопасности персональных данных.

8. Утверждение акта классификации.

10. Контроль ИСПД.

При выполнении указанных действий, информационная система персональных данных будет соответствовать требованиям закона. 59

Контроль защиты персональной информации работника

Контроль за исполнением требований закона возложен на Федеральную службу безопасности (ФСБ России), Федеральную службу по техническому и экспортному контролю (ФСТЭК) и Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

Каждое из этих ведомств выполняет свою задачу. Так, ФСБ России курирует вопросы безопасности персональных данных при их обработке в информационных системах, в том числе защиту информации с использованием средств шифрования (криптографии).

Компетенции ФСТЭК России - защита информации с применением технических средств, в том числе подтверждение отсутствия в средствах защиты не декларируемых возможностей. Технические средства защиты персональных данных необходимо сертифицировать.

Роскомнадзор является основным регулятором в области защиты прав физических лиц, чьи персональные данные обрабатываются. Сотрудники этого ведомства имеют право:

проверять сведения в уведомлении, поданном оператором;

принимать меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований закона;

обращаться в суд с исковыми заявлениями в защиту прав субъектов и представлять их интересы в суде. А также направлять заявления в орган, осуществляющий лицензирование деятельности оператора, для рассмотрения вопроса о принятии мер по приостановлению действия его лицензии;

направлять материалы в правоохранительные органы для решения вопроса о возбуждении уголовного дела в связи с нарушением прав субъектов персональных данных;

привлекать к административной ответственности лиц, виновных в нарушении закона.

Нарушение установленного законом порядка сбора, хранения, использования или распространения информации влечет наложение административного штрафа на граждан от пятисот до тысячи рублей с конфискацией несертифицированных средств защиты информации, на должностных лиц - от одной до двух тысяч рублей, а на юридических лиц – от десяти до двадцати тысяч рублей с конфискацией несертифицированных средств.

Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность) лицом, которое имело к ней доступ по служебным или профессиональным обязанностям, влечет наложение на должностных лиц административного штрафа – от четырех тысяч до пяти тысяч рублей. 60

Как известно, реализация Федерального закона № 152-ФЗ неоднократно откладывалась. Дело в том, что достижение соответствия ФЗ требует внедрения новых ИТ-продуктов, принятия организационных мер и модернизации бизнес-процессов компании. Но наибольшие сложности у российских специалистов вызывают сами требования закона, а точнее – их неконкретность. Исполнение некоторых требований стало практически невыполнимой задачей, поскольку для этого требуются немалые финансовые, технические и организационные ресурсы. Так, согласно сделанным расчетам защита персональных данных в соответствии с законом требует увеличения финансовых средств в 3-5 раз. 62

Все это свидетельствует о необходимости дальнейшего совершенствования нормативно-правовой базы, регулирующей отношения по обработке персональных данных.

В соответствии с действующим законодательством предусмотрено несколько видов ответственности за нарушение норм в области защиты персональных данных (гражданско-правовая, материальная, дисциплинарная, административная и уголовная). Для отдельных составов правонарушений установлены санкции в отношении не только физических и должностных, но и юридических лиц. Таким образом, привлечение к отдельным видам ответственности возможно и для работников, и для работодателей.

Статья 150 ГК РФ к числу неотъемлемых и неотчуждаемых нематериальных прав, подлежащих правовой защите, относит личную неприкосновенность, неприкосновенность частной жизни, личную и семейную тайну. Гражданско-правовая ответственность за посягательство на неприкосновенность частной жизни непосредственно связана с категорией морального вреда. Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.

При определении размеров компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные, заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями лица, которому причинен вред (ст. 151 ГК РФ) 63 . Кроме того, гражданин вправе требовать по суду опровержения порочащих его честь, достоинство или деловую репутацию сведений, если распространивший такие сведения не докажет, что они соответствуют действительности. Обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина (ст. 152 и 153 ГК РФ). Разъяснения вопросов, связанных с причинением морального вреда, содержатся в постановлении Пленума Верховного Суда РФ от 20 декабря 1994 г. № 10 «Некоторые вопросы применения законодательства о компенсации морального вреда». Компенсация морального вреда осуществляется в денежной форме. Характер физических и нравственных страданий оценивается судом с учетом фактических обстоятельств, при которых был причинен моральный вред, и индивидуальных особенностей потерпевшего (ст. 1101 ГК РФ).

Материальная ответственность работника за разглашение сведений, относящихся к персональным данным других работников, возлагается на него в полном размере причиненного ущерба (п. 7 ст. 243 ТК РФ). Случаи полной материальной ответственности являются исключениями из общего правила, что подтверждает особое значение института защиты персональных данных работников в отечественном трудовом праве.

Дисциплинарная ответственность в виде увольнения наступает для работника, разгласившего охраняемую законом тайну (в том числе персональные данные другого работника). Однако необходимо, чтобы эти сведения стали известны работнику в связи с исполнением им своих трудовых обязанностей (поди, «в» п. 6 ст. 81 ТК РФ). В соответствии со ст. 192 ТК РФ привлечение работника, совершившего дисциплинарный проступок, является правом, а не обязанностью работодателя. При наложении дисциплинарного взыскания работодатель должен учесть тяжесть совершенного проступка и обстоятельства, при которых он был совершен. Поэтому вместо увольнения работодатель вправе наложить на виновное лицо взыскание в виде замечания или выговора. Права и обязанности работника в отношении доступа к персональным данным других работников определяются сто трудовой функцией, другими условиями трудового договора, а также содержанием локальных нормативных правовых актов, определяющих перечень его должностных обязанностей.

Административная ответственность за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа на граждан в размере от 0,3 тыс. до 0,5 тыс. руб.; на должностных лиц - от 0,5 тыс. до 1 тыс. руб.; на юридических лиц - от 5 тыс. до 10 тыс. руб. (ст. 13.11 Кодекса РФ об административных правонарушениях (далее - КоАП РФ)). Разглашение информации ограниченного доступа лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, влечет наложение административного штрафа на граждан в размере от 0,5 тыс. до 1 тыс. руб.; на должностных лиц - от 4 тыс. до 5 тыс. руб. (ст. 13.14 КоАП РФ).

Уголовная ответственность за нарушение неприкосновенности частной жизни предусмотрена ст. 137 Уголовного кодекса РФ 64 . Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации наказываются штрафом в размере до 200 тыс. руб. или в размере заработной платы или иного дохода осужденного за период до 18 месяцев, либо обязательными работами на срок от 120 до 180 часов, либо исправительными работами на срок до одного года, либо арестом на срок до четырех месяцев. Те же деяния, совершенные лицом с использованием своего служебного положения, наказываются штрафом в размере от 100 тыс. до 300 тыс. руб. или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо арестом на срок от четырех до шести месяцев.

ЗАКЛЮЧЕНИЕ

Защиту персональных данных работника можно рассматривать в нескольких аспектах. Во-первых, это гарантии, закрепленные в трудовом праве, которое представляет собой совокупность норм, регулирующих отношения по поводу персональных данных работника. Во-вторых, это система мероприятий организационно-правового характера, направленных на реализацию законодательных положений и выражающих политику работодателя в данной сфере. В-третьих, это обеспечение субъективного права работника на защиту своих персональных данных.

Информационные отношения возникают как между работником и работодателем, так и между каждым из них и третьими лицами. Отношения между работником и работодателем являются основными информационными отношениями. Поэтому их регулированию в законодательстве о труде отдастся приоритет. Работник не только обязан предоставлять сведения о себе, но и имеет право получать достоверную информацию об условиях труда и о требованиях охраны труда на рабочем месте (ст. 21 ТК РФ). Каждый работник имеет право на получение от работодателя достоверной информации об условиях и охране труда на рабочем месте, о существующем риске повреждения здоровья, а также о мерах по защите от воздействия вредных и (или) опасных производственных факторов (ч. 3 ст. 219 ТК РФ). Статья 210 этого Кодекса содержит термин «единая информационная система охраны труда». Получение от работодателя информации по вопросам, непосредственно затрагивающим интересы работников, является одной из основных форм участия работников в управлении организацией (ст. 53 ТК РФ). Работодатель обязан предоставлять представителям работников полную и достоверную информацию, необходимую для заключения коллективного договора, соглашения и контроля за их выполнением (ст. 22 ТК РФ).

Определенные нормы отечественного кодифицированного закона о труде регулируют отношения по поводу конфиденциальной информации. Согласно ч. 3 ст. 57 ТК РФ в трудовом договоре могут предусматриваться условия о неразглашении охраняемой законом тайны (государственной, служебной, коммерческой и иной). Работодатель имеет право расторгнуть трудовой договор в случаях разглашения работником охраняемой законом тайны, ставшей известной ему в связи с исполнением им трудовых обязанностей, прекращения допуска к государственной тайне, если выполняемая работа требует допуска к государственной тайне (подп. «в» п. 6 ст. 81 ТК РФ). На работника возлагается материальная ответственность в полном размере причиненного ущерба в случае разглашения сведений, составляющих охраняемую законом тайну. В соответствии с ч. 8 ст. 37 ТК РФ участники коллективных переговоров, другие лица, связанные с велением коллективных переговоров, не должны разглашать полученные сведения, если эти сведения относятся к охраняемой законом тайне. Лица, разгласившие указанные сведения, привлекаются к дисциплинарной, административной, гражданско-правовой, уголовной ответственности в установленном законодательством порядке. Персональные данные гражданина в соответствии с действующими нормативными актами относятся к сведениям конфиденциального характера1. Поэтому положения ТК РФ по поводу охраняемой законом тайны также относятся к персональным

В рыночных условиях хозяйствования эффективность и результативность деятельности работодателя непосредственным образом связаны с ее своевременным обеспечением информационными ресурсами. Деятельность работодателя в отношении персональных данных работника регулируется императивными нормами, что обусловлено публичной составляющей отрасли трудового права в целом и института защиты персональных данных работника в частности. Право на защиту персональных данных имеет абсолютный характер. Оно предоставлено каждому работнику безотносительно к размеру его вклада в достижение организацией поставленных задач. Поэтому согласно п. 9 ст. 86 ТК РФ работники не должны отказываться от своих прав на сохранение и защиту тайны.

Свое право на защиту персональных данных работники могут реализовать путем свободного бесплатного доступа к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника; путем определения своих представителей для защиты своих персональных данных; путем получения полной информации о персональных данных и их обработке; путем предъявления к работодателю требования об исключении или исправлении неверных либо неполных персональных данных, а также данных, обработанных с нарушением законодательных требований; путем обжалования в суд любых неправомерных действий или бездействия работодателя при обработке и защите персональных данных работника и др. (ст. 89 ТК РФ).

Таким образом, все поставленные во введении задачи были выполнены в ходе написания работы, а следовательно, цель работы достигнута.

СПИСОК ЛИТЕРАТУРЫ

Нормативные правовые акты

Всеобщая декларация прав человека Организации Объединенных Наций от 10 декабря 1948 года принята Генеральной Ассамблеей ООН 10 декабря 1948 года. // Международное публичное право: сборник документов.-М.: БЕК, 1996.-Т. 1.-С. 460-464.

Закон РФ от 27.12.1991 № 2124-1 «О средствах массовой информации» Электронный ресурс.: [текст в ред. от 27.07.2012] // Консультант Плюс- справочная правовая система. Версия 3000.02.12. М.: ЗАО «Консультант Плюс», 1992-2006.

Семейный кодекс Российской Федерации от 29.12.1995 № 223-Ф3 Электронный ресурс.: [принят ГД ФС РФ 08.12.1995: текст в ред. от 03.06.2012] // Консультант Плюс справочная правовая система. Версия 3000.02.12.-М.: ЗАО «Консультант Плюс», 1992-2006.

Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ Электронный ресурс.: [принят ГД ФС РФ 21.12.2001: текст в ред. от 30.06.2012] // Консультант Плюс справочная правовая система. Версия 3000.02.12. -М.: ЗАО «Консультант Плюс», 1992-2006.

Уголовный кодекс Российской Федерации от 13.06.1996 № 63-Ф3 Электронный ресурс.: [принят ГД ФС РФ 24.05.1996: текст в ред. от 27.07.2012] // Консультант Плюс справочная правовая система. Версия 3000.02.12. - М.: ЗАО «Консультант Плюс», 1992-2006.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» Электронный ресурс.: [принят ГД ФС РФ 08.07.2006] // Консультант Плюс справочная правовая система. Версия 3000.02.12. - М.: ЗАО «Консультант Плюс», 1992-2012.

Научная литература

Алавердов А. Р. Организация и управление безопасностью в кредитно-финансовых организациях: Учебное пособие. М.: Московский государственный университет статистики и информатики, 2004.

Балашкина И.В. Особенности конституционного регулирования права на неприкосновенность частной жизни в Российской Федерации // Право и политика. 2007. №7. С. 92-105.

Бачило И..Л., Сергиенко Л.А., Кристальный Б.В., Арешев А.Г. Персональные данные в структуре информационных ресурсов. Основы правового регулирования. Минск. 2006. с.473.

Блоцкий В.Н. Конституционное обеспечение права человека на неприкосновенность частной жизни в Российской Федерации: Автореф. дис. канд. юрид. наук. М., 2007. с. 31.

Борисова С. А. Общие требования при обработке персональных данных работника и гарантии их защиты // Трудовое право. - 2005. - N 11. - С. 30-36.

Глушкова С.И. Права человека в России: теория, история, практика: учеб. Пособие. Екатеринбург. 2008. с.748.

Ищейнов В. Я. Персональные данные в законодательных и нормативных документах Российской Федерации и информационных системах // Делопроизводство. - 2008. - N 3. - С. 87-90.

Кибанов А. Я. Управление персоналом организации: Учеб. 4-е изд., доп. и перераб. М.: Инфра-М, 2010. 695 с.

Кужукеева Г. Право на частную жизнь и право на свободу выражения: проблемы соотношения. [Электронный ресурс]. URL: http://medialaw.asia

Лушников А.М. Защита персональных данных работника: сравнительно-правовой комментарий гл.14 Трудового кодекса РФ // Трудовое право. 2009. № 9. С. 93-101.

Маркевич А. С. Организационно-правовая защита персональных данных в служебных и трудовых отношениях: Автореф. дис. на соиск. уч. ст. канд. юрид. наук. Воронеж, 2006.

Новичкова Ю. В. Персональные данные - без права передачи, или Особенности расторжения трудового договора за разглашение персональных данных // Справочник кадровика. - 2007. - N 1. - С. 14-23.

Орловский Ю. П., Кузнецов Д. Л., Белицкая И. Я., Корякина Ю. С. Кадровое делопроизводство (правовые основы): Практическое пособие / Под ред. Ю. П. Орловского. М.: Контракт, 2009. 239 с.

Преображенский, Е. Инсайдер: вариант с заклеиванием USB-порта не поможет / Управление персоналом. - 2009. - N 7 (209). - С. 8-15.

Савинцева М. Правовая защита персональной информации граждан в России // Законодательство и практика масс-медиа. - 2006. - № 9. [Электронный ресурс]. URL: http://www.medialaw.ru/publications

Соколова О. С. Проблемы реализации Федерального закона "О персональных данных" // Современное право. - 2006. - N 9. - С. 37-41.

Федосова, М. А. Защита персональных данных работника // Финансовые и бухгалтерские консультации. - 2007. - N 11. - С. 71-74.

Хачатурян Ю. А. Право работника на защиту персональных данных // Современное право. - 2006. - N 1. - С. 43-51.

Чаннов, С. Е. Правовой режим персональных данных на государственной и муниципальной службе // Российская юстиция. - 2008. - N 1. - С. 21-23.

Чиркин В.Е. Конституционное право зарубежных стран: Учебник. 4-е изд., перераб. и доп. - М.: Юристъ, 2005. с. 391.

Янковая В. Ф. Положение о защите персональных данных работников. М.: ООО "Профессиональное издательство" // Секретарь-референт. 2008. N 2.

Приложение

Руководителю музыкального театра,

расположенного по адресу:
г. Москва, ул. Неизвестная, д. 6,
Иванову Ивану Ивановичу
от Сидорова Петра Михайловича
(паспорт N 33 00 612745, выдан
Ленинским ОВД г. Москвы 25.02.2001)

Заявление.

Я, Сидоров Петр Михайлович, даю свое согласие на сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (передачу), обезличивание, блокировку и уничтожение своих персональных данных:

Фамилия, имя, отчество;

Год, месяц, дата и место рождения;

Семейное, социальное, положение;

Образование;

Профессия;

Доходы, полученные мной в данном учреждении, для передачи в налоговую инспекцию по форме 2-НДФЛ и органы ПФР индивидуальных сведений о начисленных страховых взносах на обязательное пенсионное страхование и данных о трудовом стаже.

8 Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ

9 Бачило И..Л., Сергиенко Л.А., Кристальный Б.В., Арешев А.Г. Персональные данные в структуре информационных ресурсов. Основы правового регулирования. Минск. 2006. с.473.

10 Борисова С. А. Общие требования при обработке персональных данных работника и гарантии их защиты // Трудовое право. - 2005. - N 11. - С. 30-36.

11 Об информации, информатизации и защите информации: федеральный закон от 20 февраля 1995 г. № 24-ФЗ, ч. 1 ст. 11 // Российская газета. 2003

12 Об утверждении Перечня сведений конфиденциального характера: указ Президента РФ от 6 марта 1997 г. № 188 // Справочная правовая система «Гарант» по состоянию на 1 сентября 2008 г. URL: http://www.garant.ru

13 Об информации, информационных технологиях и о защите информации: федеральный закон от 27 июля 2006 г. № 149-ФЗ // Российская газета. 2006

14 Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» Электронный ресурс.: [принят ГД ФС РФ 08.07.2006] // Консультант Плюс справочная правовая система. Версия 3000.02.12. - М.: ЗАО «Консультант Плюс», 1992-2012.

15 Об архивном деле: федеральный закон от 22 октября 2004 г. № 125-ФЗ (в ред. Федерального закона от 4 декабря 2006 г. № 202-ФЗ) // Справочная правовая система «Гарант» по состоянию на 1 сентября 2008 г. URL: http://www.garant.ru

16 О государственной регистрации юридических лиц и индивидуальных предпринимателей: федеральный закон 8 августа 2001 г. № 129-ФЗ, ст. 6 (в ред. Федерального закона от 4 декабря 2006 г. № 202-ФЗ) // Правовая система «Гарант» по состоянию на 1 мая 2008 г. URL: http://www.garant.ru

17 Конституция РФ. Принята всенародным голосованием 12.12.1993г. // Российская газета. 25.12.1993.

18 Положение о сертификации средств защиты информации. Утверждено Постановлением Правительства Российской Федерации от 26 июня 1995 г. № 608 (с изменениями и дополнениями от 23 апреля 1996 г. № 509; от 29 марта 1999 г. № 342; от 17 декабря 2004 г. № 808); Положение о сертификации средств защиты информации по требованиям безопасности информации. Утверждено Приказом Председателя Государственной технической комиссии при Президенте Российской Федерации от 27 октября 1995 г. № 199; Положение о лицензировании деятельности по технической защите конфиденциальной информации. Утверждено Постановлением Правительства Российской Федерации от 15 августа 2006 г. № 504

19 О государственной тайне: закон Российской Федерации от 21 июля 1993 г. № 5485-1, раздел 3 «Отнесение сведений к государственной тайне и их засекречивание»

20 О коммерческой тайне: федеральный закон от 29 июля 2004 г. № 98-ФЗ, ст. 10 в ред. Федерального закона от 2 февраля 2006 г. № 19-ФЗ, от 18 декабря 2006 г. № 231-ФЗ)

21 О служебной тайне: проект федерального закона, законопроект № 124871 -4, глава 2 «Отнесение сведений к служебной тайне и снятие ограничений на их распространение».

22 Бачило И..Л., Сергиенко Л.А., Кристальный Б.В., Арешев А.Г. Персональные данные в структуре информационных ресурсов. Основы правового регулирования. Минск. 2006. с.473.

23 О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма: федеральный закон от 7 августа 2001 г. № 115-ФЗ // Российская газета. 2001

24 Бачило И.Л., Лопатин В.Н., Федотов МА Информационное право. СПб.: изд. «Юридический центр Пресс», 2005. С. 243.

25 О классификации конфиденциальной информации на «первичные» и «производные» тайны см.: Волчинская Е.К. Коммерческая тайна в системе конфиденциальной информации

26 Бачило И.Л., Лопатин В.Н., Федотов М.А. Указ. соч. С. 220 ; Головкин Р.Б. Правовое и моральное регулирование частной жизни в современной России: дис. ... д-ра юрид. наук: 12.00.01. Н. Новгород/ 2005. С. 117; Баранов В.М. Категория «частная жизнь» // Право граждан на информацию и защита неприкосновенности частной жизни. Н. Новгород, 1999. С. 34-37.

27 Петрыкина Н.И. К вопросу о конфиденциальности персональных данных // Правовая система «Гарант» по состоянию на 1 мая 2008 г.

28 Борисова С. А. Общие требования при обработке персональных данных работника и гарантии их защиты // Трудовое право. - 2005. - N 11. - С. 30-36.

29 Борисова С. А. Общие требования при обработке персональных данных работника и гарантии их защиты // Трудовое право. - 2005. - N 11. - С. 30-36.

36 Бачило И..Л., Сергиенко Л.А., Кристальный Б.В., Арешев А.Г. Персональные данные в структуре информационных ресурсов. Основы правового регулирования. Минск. 2006. с.473.

37 Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» Электронный ресурс.: [принят ГД ФС РФ 08.07.2006] // Консультант Плюс справочная правовая система. Версия 3000.02.12. - М.: ЗАО «Консультант Плюс», 1992-2012.

38 Кибанов А. Я. Управление персоналом организации: Учеб. 4-е изд., доп. и перераб. М.: Инфра-М, 2010. 695 с.

39 Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» Электронный ресурс.: [принят ГД ФС РФ 08.07.2006] // Консультант Плюс справочная правовая система. Версия 3000.02.12. - М.: ЗАО «Консультант Плюс», 1992-2012.

40 Бачило И..Л., Сергиенко Л.А., Кристальный Б.В., Арешев А.Г. Персональные данные в структуре информационных ресурсов. Основы правового регулирования. Минск. 2006. с.473.

49 Преображенский, Е. Инсайдер: вариант с заклеиванием USB-порта не поможет / Управление персоналом. - 2009. - N 7 (209). - С. 8-15.

50 Хачатурян Ю. А. Право работника на защиту персональных данных // Современное право. - 2006

51 Бачило И..Л., Сергиенко Л.А., Кристальный Б.В., Арешев А.Г. Персональные данные в структуре информационных ресурсов. Основы правового регулирования. Минск. 2006. с.473.

52 Лушников А.М. Защита персональных данных работника: сравнительно-правовой комментарий гл.14 Трудового кодекса РФ // Трудовое право. 2009

53 Хачатурян Ю. А. Право работника на защиту персональных данных // Современное право. - 2006

54 Лушников А.М. Защита персональных данных работника: сравнительно-правовой комментарий гл.14 Трудового кодекса РФ // Трудовое право. 2009

55 Лушников А.М. Защита персональных данных работника: сравнительно-правовой комментарий гл.14 Трудового кодекса РФ // Трудовое право. 2009

56 Лушников А.М. Защита персональных данных работника: сравнительно-правовой комментарий гл.14 Трудового кодекса РФ // Трудовое право. 2009

57 Преображенский, Е. Инсайдер: вариант с заклеиванием USB-порта не поможет / Управление персоналом. - 2009. - N 7 (209). - С. 8-15.

58 Преображенский, Е. Инсайдер: вариант с заклеиванием USB-порта не поможет / Управление персоналом. - 2009. - N 7 (209).

59 Преображенский, Е. Инсайдер: вариант с заклеиванием USB-порта не поможет / Управление персоналом. - 2009. - N 7 (209).

60 Бачило И..Л., Сергиенко Л.А., Кристальный Б.В., Арешев А.Г. Персональные данные в структуре информационных ресурсов. Основы правового регулирования. Минск. 2006. с.473.

61 Преображенский, Е. Инсайдер: вариант с заклеиванием USB-порта не поможет / Управление персоналом. - 2009. - N 7 (209). - С. 8-15.

62 Борисова С. А. Общие требования при обработке персональных данных работника и гарантии их защиты // Трудовое право. - 2005. - N 11. - С. 30-36.

63 Лушников А.М. Защита персональных данных работника: сравнительно-правовой комментарий гл.14 Трудового кодекса РФ // Трудовое право. 2009

64 Уголовный кодекс Российской Федерации от 13.06.1996 № 63-Ф3 Электронный ресурс. [Принят ГД ФС РФ 24.05.1996: текст в ред. от 27.07.2012] // Консультант Плюс справочная правовая система. Версия 3000.02.12. - М.: ЗАО «Консультант Плюс», 1992-2006.

В современном мире технологии, связанные с хранение и обработкой персональных данных, стали незаменимой частью жизни общества. Они используются в банковской сфере, медицине, детсадах, школах, ВУЗах и на различных предприятиях. Помимо всего прочего за последние пять лет социальные сети получили огромное влияние и хранят в себе неисчислимое количество личной информации. Следовательно, все чаще встаёт вопрос о сохранности персональных данных, ведь все эти факторы плодотворно влияют на развитие киберприступности, а информация имеет еще больший вес.

На различных предприятиях, где весьма важно сохранить различные секретные данные, применяются многие методы борьбы с этим. В своем проекте я хочу ознакомиться с ними и узнать, можно ли применять какие-либо из них в школах для повышения безопасности учеников и учителей.

Результаты экспертной оценки

Экспертная карта межрайонного этапа 2017/2018 (Экспертов: 5)

Средний балл: 2,2

0 баллов
Цель работы не поставлена, задачи не сформулированы, проблема не обозначена.

1 балл
Цель обозначена в общих чертах, задачи сформулированы не конкретно, проблема не обозначена.

2 балла
Цель однозначна, задачи сформулированы конкретно, проблема не актуальна: либо уже решена, либо актуальность не аргументирована.

3 балла
Цель однозначна, задачи сформулированы конкретно, проблема обозначена, актуальна; актуальность проблемы аргументирована.

Средний балл: 1

0 баллов
Нет обзора литературы изучаемой области/ область исследования не представлена.
Нет списка используемой литературы.

1 балл
Приведено описание области исследования.
Приведен список используемой литературы, но нет ссылок на источники.
Источники устарели, не отражают современное представление

2 балла

Цитируемые источники устарели, не отражают современное представление.

3 балла
Приведен анализ области исследования с указанием на источники, ссылки оформлены в соответствии с требованиями.
Источники актуальны, отражают современное представление.

Средний балл: 1,2

0 баллов
1) Нет описания методов исследования.
2) Нет плана исследования.
3) Нет схемы эксперимента.
4) Нет выборки (если требуется).

1 балл
Присутствует только одно из следующего:

2) План исследования.
3) Схема эксперимента.
4) Выборка (если требуется).

2 балла
Присутствует только два из следующего:
1) Описание методов исследования.
2) План исследования.
3) Схема эксперимента.
4) Выборка (если требуется).

3 балла
Приведены методы исследования, план исследования.
Дана схема эксперимента.
Выборка (если требуется) соответствует критерию достаточности.

Средний балл: 1,6

0 баллов
Исследование не проведено, результаты не получены, поставленные задачи не решены, выводы не обоснованы.

1 балл
сследование проведено, получены результаты, но они не достоверны.
Решены не все поставленные задачи.
Выводы не достаточно обоснованы.

2 балла
Исследование проведено, получены достоверные результаты.

Выводы обоснованы.
Не показано значение полученного результата по отношению к результатам предшественников в области.

3 балла
Исследование проведено, получены результаты, они достоверны.
Решены все поставленные задачи.
Выводы обоснованы.
Показано значение полученного результата по отношению к результатам предшественников в области.

Средний балл: 1,8

0 баллов
Нет понимания сути исследования, личного вклада не выявлено.
Низкий уровень осведомлённости в предметной области исследования.

1 балл
Есть понимание сути исследования, личный вклад не конкретен.
Уровень осведомлённости в предметной области исследования не позволяет уверенно обсуждать положение дел по изучаемому вопросу.

2 балла

Хорошо ориентируется в предметной области исследования, что позволяет уверенно обсуждать положение дел по изучаемому вопросу.

3 балла
Есть понимание сути исследования, личный вклад и его значение в полученных результатах чётко обозначены.
Свободно ориентируется в предметной области исследования.
Определено дальнейшее направление развития исследования.

Средний балл: 0

1-2 балла
Представленная работа действительно содержит значимые для науки результаты (имеет теоретическую/ практическую значимость), может быть представлена на научных конференциях, и рекомендовано подготовить на её основе научные публикации.

Сумма баллов: 7,8

Федеральное агентство по образованию
Алтайский государственный университет
Исторический факультет
Кафедра архивоведения и исторической информатики

Правовая защита персональных данных в РФ
(Курсовая работа)

Выполнила студентка
1 курса 194 группы
Никифорова К.А.

________________________

(подпись)

Научный руководитель
к.и.н., ст. преп. Сарафанов Д.Е.
________________________

(подпись)

Работа защищена
«____»___________2010 г.

Оценка _________________

Барнаул 2010

Введение…………………………………………………………………………………...2

Глава 1 Понятие «персональные данные» в отечественном законодательстве и научной литературе…………………………………………………………...…………..6

1.1 Определение понятия «персональные данные» в законодательстве………………6

1.2 Определение понятия «персональные данные» в научной литературе………….13

Глава 2 Защита персональных данных и ответственность за нарушение работы с ними....................................................................................................................................17

1.1 Правовые меры по защите персональных данных...………………………………17

1.2 Ответственность за нарушение работы с персональными данными……….…….24

Заключение ……………………………………………………………………………....28

Список источников и литературы ……………………………………………………....30

Введение

С течением времени у человечества появляется все больше новых объектов, нуждающихся в защите путем закрепления соответствующих норм в законе. Основной объект на сегодняшний день – это информация. В наше время общество всецело зависит от получаемых, обрабатываемых и передаваемых данных. По этой причине данные сами по себе приобретают высокую ценность. И тем больше цена полезной информации, чем выше ее сохранность.

В виду вышесказанного, законодательными актами, как в России, так и зарубежных стран предусматривают немалое количество норм, направленных на регулирование создания, пользования, передачи и защиты информации во всех ее формах.

Особой ценностью обладает информация, несущая в себе данные о личной, индивидуальной или семейной жизни человека. Ст.2 Конституции Российской Федерации закрепляет основной принцип современного демократического общества: «Человек, его права и свободы являются высшей ценностью» . Соответственно и информация, непосредственно затрагивающая частные интересы человека должны уважаться и защищаться государством.

Цель работы заключается в исследовании правовой защиты персональных данных в РФ. Для достижения цели, необходимо решить следующие задачи:

1. на основе анализа научных работ и законодательств изучить содержание понятия «персональные данные»;

2. изучить различные аспекты защиты персональных данных

Историография. “Персональные данные” рассматриваются как информация (зафиксированная на материальном носителе) о конкретном человеке, которая отождествлена или может быть отождествлена с ним. К персональным данным относятся биографические и опознавательные данные, личные характеристики, сведения о семейном, социальном положении, образовании, профессии, служебном и финансовом положении, состоянии здоровья и прочие . В современном мире к защите этих сведений предъявляют все большие требования, к обеспечению гарантий по их сохранности и неразглашению относятся очень серьезно.

А.Г. Саидов посвятил свой труд вопросам информационной безопасности, правовому регулированию и компонентам системы информационной безопасности государства. Предметом его исследования выступает содержание и значение конституционно-правовых норм, обеспечивающих создание системы информационной безопасности личности, российского общества и государства. Абдулмуталиб Гасанович внес немалый вклад в исследование правовой защиты персональных данных и информационной безопасности в целом. По мнению А.Г.Саидова, главное, чего не хватает российскому законодательству (и что можно почерпнуть из зарубежного опыта), это позитивной (некарательной) направленности . Защита персональных данных – это новая область деятельности, здесь важно научить, разъяснить, помочь, а не запретить и наказать.

Автор считает необходимым принятие Федерального закона «О неприкосновенности частной жизни», в котором бы устанавливался исчерпывающий перечень случаев ограничении прав в соответствии с конституционными основаниями и решениями Европейского суда по правам человека. По мнению Саидова, государство должно создавать условия для обеспечения защиты персональных данных каждого гражданина Российской Федерации.

В работе В.Я. Ярочкина «Информационная безопасность», персональные данные относятся к тому типу информации, которым необходима правовая защита. Он рассматривает необходимость правовой защиты персональных данных человека и гражданина, доказывает важность сохранности личной информации. Автор перечисляет виды правовых актов, ориентированных на правовую защиту информации, и другие средства, направленные на сокрытие персональных данных . В его работе можно увидеть и угрозы конфиденциальной информации, а также виды таких угроз, приводящие к неправомерному овладению охраняемыми сведениями. В заключении, Владимир Иванович перечислил рекомендации по обеспечению защиты информации.

В целом, можно сказать, что труд В.И. Ярочкина направлен на характеристику и полное описание охраны безопасности персональных данных и других видов конфиденциальной информации.

В исследовании В.В. Полякова и В.А. Мазурова «Проблемы правовой и технической защиты информации» идет речь о создании и применении эффективных методов и средств для обеспечения информационной безопасности. Отдельной важной задачей, исследуемой в этом сборнике, является подготовка специалистов по защите информации .Авторы отмечают, что квалифицированных специалистов по информационной безопасности не хватает. Это связано в значительной степени с большими требованиями, предъявляемыми к ним.

В «Большом справочнике кадровика», автором которого является Н.А.Алимова, рассматриваются проблемы защиты персональных данных работника (на мой взгляд, они относятся к разновидностям персональных данных в целом). Н.А. Алимова, разъясняет, что такое персональные данные работника, для чего они нужны, каким образом они охраняются, какие требования должен выполнять работодатель при обработке данных работника при приеме на работу . В данной работе говориться о том, что порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований ТК РФ и иных федеральных законов. Н.А. Алимова исследовала в своей работе сами правила передачи персональных данных работника и необходимые для этого требования. Немаловажным аспектом исследования данной темы в работе является порядок привлечения к дисциплинарной ответственности за невыполнение обязанностей и требований по хранению и обеспечению безопасности персональных данных работника, а также формы такой ответственности.

В.А. Мазуров в своем труде «Уголовно-правовые аспекты информационной безопасности» рассматривает понятие и принципы информационной безопасности, основные направления развития законодательства об информации, а также правовое понятие и классификацию охраняемой законом информации. Он выделил различные меры по обеспечению защиты конфиденциальных данных, а также раскрыл определение и классификацию возможных угроз безопасности . Особой частью его работы является исследование и описание уголовно-правовой защиты информации ограниченного доступа. В.А. Мазуров изучает и характеризует объект и предмет преступлений, посягающих на тайну частной жизни. Раскрывает объективную сторону составов преступлений, посягающих на неприкосновенность частной жизни, разъясняет в каком случае наступает правонарушение в сфере информационной защиты, и перечисляет формы ответственности за нарушение тайны о персональных данных, в соответствии со статьями УК РФ.

В целом, можно сказать, что тема, касающаяся персональных данных и их защиты, изучена довольно хорошо и тщательно. В большом количестве работ содержится информация о классификации, охраняемой законом информации, о видах правовых актов, направленных на сохранение безопасности персональных данных, о методах и способах защиты, о типах угроз, о видах ответственности за нарушение работы с персональными данными. Обилие такой информации способствует увеличению степени и качества защиты персональных данных.

Глава 1

Понятие «персональные данные» в отечественном законодательстве и научной литературе.

1.1. Определение понятия «персональные данные» в законодательстве.

В современном мире к защите персональных данных относятся очень серьезно. Нормативные акты, регулирующие обеспечение их сохранности предусмотрены не только национальным законодательством, но и международными актами.

Всеобщая декларация прав человека является одним из важнейших документов в истории человечества. 10 декабря 1948 года Генеральная Ассамблея Организации Объединенных Наций приняла Декларацию.

Статья 12 Всеобщей декларации прав человека 1948 года гласит «Никто не может подвергаться произвольному вмешательству в его личную и семейную жизнь, произвольным посягательствам на неприкосновенность его жилища, тайну его корреспонденции или на его честь и репутацию.Каждый человек имеет право на защиту закона от такого вмешательства или таких посягательств» .

Право на уважение к личной и семейной жизни содержится так же и в Конвенции о защите прав человека и основных свобод, в которой так же говориться о том, что «Не допускается вмешательство со стороны публичных властей в осуществление этого права, за исключением случаев, когда такое вмешательство предусмотрено законом и необходимо в демократическом обществе в интересах национальной безопасности и общественного порядка, экономического благосостояния страны, в целях предотвращения беспорядков или преступлений, для охраны здоровья или нравственности или защиты прав и свобод других лиц» . Конвенция была принята Советом Европы 4 ноября 1950 года в Риме. Российская Федерация ратифицировала ее, приняв Федеральный закон № 54-ФЗ от 30 марта 1998 г.

Спустя некоторое время закрепление политических прав человека, право неприкосновенности личной жизни было подтверждено Международным пактом о гражданских и политических правах .

Международный пакт о гражданских и политических правах Принят резолюцией 2200 А (XXI) Генеральной Ассамблеи от 16 декабря 1966 года в Нью-Йорке. СССР подписал пакт 18 марта1968 года. Ратифицирован Президиумом Верховного Совета СССР 18 сентября1973 года с заявлением. Ратификационная грамота СССР депонирована Генеральному секретарю ООН 16 октября 1973 года. Вступил в силу для СССР 3 января 1976 года.

Эти международные правовые акты заложили основу создания национальных правовых систем. В Российской Федерации на ряду с международными правовыми актами сохранность персональных данных обеспечивается отечественными нормативными актами.

Во-первых это Конституция РФ . В ее положениях признается не только само право на неприкосновенность личной жизни, личную и семейную тайну (ч.1 ст.23), но и обеспечивающие это право дополнительные гарантии. В соответствии со ст. 2 Конституции «человек, его права и свободы являются высшей ценностью. Признание, соблюдение и защита прав и свобод человека и гражданина - обязанность государства». Таким образом, Российская Федерация не только устанавливает право, но и обязуется защищать его; ставит интересы человека и гражданина на ступень выше, чем интересы государства, общества, либо общественных или коммерческих организаций. Ч.1 ст. 24 запрещает сбор, хранение, использование и распространение информации о частной жизни лица без его согласия. И, наконец, согласно ст. 46 каждому гарантируется судебная защита его прав, в том числе в межгосударственных органах.

Конституция Российской Федерации обладает высшей юридической силой, ее прямое действие применяется на территории всей страны, любые законы, применяемые в стране не должны противоречить Конституции. Общепризнанные принципы и нормы международного права и международные договоры Российской Федерации являются основной частью ее правовой системы. Если международным договором Российской Федерации установлены иные правила, чем предусмотренные законом, то применяются правила международного договора .

8 июля 2006 года Государственной думой был принят Федеральный закон Российской Федерации № 152-ФЗ «О персональных данных». Целью настоящего Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну . Данный закон дает определение понятию «персональные данные», а так же другим основным понятиям, используемым в Федеральном законе. Также, в законе рассматривается его сфера действия, принципы и условия обработки персональных данных, права субъекта персональных данных, обязанности оператора , контроль и надзор за обработкой персональных данных, ответственность за нарушение требований за нарушение настоящего Федерального закона.

Следуя статье 3 Федерального закона, персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

20.02.1995 г. был утвержден Федеральный закон N 24-ФЗ «Об информации, информатизации и защите информации», в котором в ч. 1 ст. 11 было определено, что персональные данные являются конфиденциальной информацией, а ч. 3 этой же статьи предупреждает о наступлении ответственности юридических и физических лиц за нарушение режима защиты, обработки и порядка использования этой информации. Также в этом законе было дано понятие «персональные данные», оно определялось как «сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность» . В настоящее время данный закон не действует, его заменил Федеральный закон «Об информации, информационных технологиях и защите информации» от 27.07.2006 г. N149-ФЗ.

В ст.2 нового закона об информации рассмотрены основные понятия, используемые в данном законе, а в ст. 3 говориться о правовом регулировании отношений, возникающих в сфере информации, информационных технологий и защите информации. В этой статье говориться о том, что ограничения доступа к информации может устанавливаться только федеральным законом. Конкретного понятия персональных данный в этом законе нет, очевидно, потому что был утвержден Федеральный закон «О персональных данных».

В статье 5, ФЗ «Об информации, информационных технологиях и защите информации», сказано: «информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа)».

Общедоступная информация – это та информация, которую нельзя скрывать от общества. Примером может служить информация о состоянии окружающей среды, о деятельности органов государственной власти и органов местного самоуправления, документы, накапливаемые в открытых фондах библиотек и архивов. Так же в эту категорию можно отнести нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, правовое положение организаций и полномочия государственных органов, органов местного самоуправления.

Информацией ограниченного доступа является информация представляющая ценность для ее владельца, доступ к которой ограничивается на законном основании. В свою очередь информация ограниченного доступа подразделяется на информацию, составляющую государственную тайну и информацию, соблюдение конфиденциальности которой установлено федеральным законом (конфиденциальная информация).

22 октября 2002 года был принят Федеральный Закон N 125-ФЗ «Об архивном деле в Российской Федерации». Этот закон регулирует отношения в сфере организации хранения, комплектования, учета и использования документов Архивного фонда нашей страны и других архивных документов независимо от их форм собственности, а также отношения в сфере управления архивным делом в Российской Федерации в интересах граждан, общества и государства. Данный закон в 3 статье рассматривает такие понятия, как документы по личному составу (отражающие трудовые отношения работника с работодателем), особо ценный документ (документ, который имеет непреходящую культурно-историческую и научную ценность, особую важность для общества и государства и в отношении которого установлен особый режим учета, хранения и использования), уникальный документ (особо ценный документ, не имеющий себе подобных по содержащейся в нем информации и (или) его внешним признакам, невосполнимый при утрате с точки зрения его значения и (или) автографичности) и т.д. Также в этом законе выделяются архивные документы, относящиеся к государственной собственности, а так же муниципальной и частной . В ст. 10 поясняются особенности положения архивных документов, находящихся в собственности Российской Федерации или муниципальных образований. Глава 6 посвящена сфере доступа к архивным документам и их использованию. Пользователь архивными документами имеет право свободно искать и получать для изучения архивные документы. Но существует и ограничение на доступ к архивным документам, которые рассматриваются в 25 статье. В данной статье сказано, что Доступ к архивным документам может быть ограничен в соответствии с международным договором Российской Федерации, законодательством Российской Федерации, а также в соответствии с распоряжением собственника или владельца архивных документов, находящихся в частной собственности, также в данной статье сказано, что ограничение на доступ к архивным документам, содержащим сведения о личной и семейной тайне гражданина, его частной жизни, а также сведения, создающие угрозу для его безопасности, устанавливается на срок 75 лет со дня создания указанных документов.

ФЗ РФ “Об оперативно - розыскной деятельности” от 12 августа 1995 № 144-ФЗ предусмотрены ограничения конституционных прав граждан на тайну телефонных переговоров, переписки, почтовых, телеграфных и иных сообщений, передаваемых по сетям электрической и почтовой связи на основании судебного решения и только при наличии информации о подготовке, совершении или совершенном противоправном деянии либо о событиях или действиях, создающих угрозу государственной, военной, экономической или экологической безопасности Российской Федерации.

Данный нормативный устанавливает исчерпывающий перечень оперативно - розыскных мероприятий и органов, осуществляющих оперативно - розыскную деятельность. Он разрешает иметь оперативно - технические силы и средства для контроля почтовых отправлений, телеграфных и иных сообщений; прослушивания телефонных переговоров с подключением к стационарной аппаратуре предприятий, учреждений и организаций независимо от форм собственности, физических и юридических лиц, предоставляющих услуги связи; снятия информации с технических каналов связи только лишь органам ФСБ и МВД, которые могут предоставлять эти силы и средства на основе специальных соглашений или межведомственных нормативных актов другим органам, осуществляющим оперативно - розыскную деятельность . Но органы (должностные лица), осуществляющие оперативно-розыскную деятельность, при проведении оперативно-розыскных мероприятий должны обеспечивать соблюдение прав человека и гражданина на неприкосновенность частной жизни, личную и семейную тайну, неприкосновенность жилища и тайну корреспонденции .

Сфера отношений, касающаяся персональных данных работника регулируется гл.14 Трудового кодекса Российской Федерации. Где установлено понятие персональных данных работника, установлен порядок работы с ними и закрепляется ответственность работодателя за нарушение соответствующих норм. В Трудовом кодексе говориться, что персональные данные работника - информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника .

В Уголовно-процессуальном кодексе Российской Федерации от 5.12.2001 г. также затрагивается сфера персональных данных. В ст. 13 говорится о тайне переписки, телефонных и иных переговоров, почтовых, телеграфных и иных сообщений. В данной статье сказано о том, что наложение ареста на почтовые и телеграфные отправления и их выемка в учреждениях связи, контроль и запись телефонных и иных переговоров могут производиться только на основании судебного решения .

Перечень сведений конфиденциального характера опубликован в Указе Президента РФ от 6.03.97 г. N 188 «Об утверждении перечня сведений конфиденциального характера». К видам конфиденциальной информации можно отнести следующее:

Персональные данные - сведения о фактах, событиях и обстоятельствах частой жизни гражданина, позволяющие идентифицировать его личность, за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях;
Тайна следствия и судопроизводства - сведения, составляющие тайну следствия и судопроизводства, а также сведения о защищаемых лицах и мерах государственной защиты, осуществляемой в соответствии с ФЗ от 20 августа 2004 г. № 119-ФЗ и другими нормативными правовыми актами Российской Федерации;
Служебная тайна - служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом Российской Федерации и федеральными законами;
Профессиональная тайна - сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных и иных сообщений и т.д.);
Коммерческая тайна - сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом Российской Федерации и федеральными законами;
Сведения о сущности изобретения - сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.

Перечень сведений, отнесенных к государственной тайне опубликован в ст. 5 Закона РФ N 5485 от 21.07.1993 «О государственной тайне». Согласно данному закону к таким сведениям относятся: сведения в военной области; в области экономики, науки и техники; в области внешней политики и экономики; в области разведывательной, контрразведывательной и оперативно-розыскной деятельности. Отнесение сведений к государственной тайне осуществляется в соответствии с их отраслевой, ведомственной или программно-целевой принадлежностью, а также в соответствии с настоящим Законом. В ст. 2 раскрывается понятие государственной тайны – «защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации». В данном законе также говориться о рассекречивании, защите, распоряжении сведениями, относящихся к государственной тайне.

Федеральный закон Российской Федерации «О коммерческой тайне» рассматривает и регулирует отношения, связанные с отнесением информации к коммерческой тайне, передачей такой информации, охраной ее конфиденциальности в целях обеспечения баланса интересов обладателей информации, составляющей коммерческую тайну. Согласно данному закону «коммерческая тайна – конфиденциальность информации, позволяющая ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных доходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду» . А также рассматриваются понятия режима коммерческой тайны; обладателя такой информации; передачи и предоставления информации, составляющей коммерческую тайну и т.д. В ст. 5 перечислены данные, которые не могут составлять коммерческую тайну. В Федеральном законе «О коммерческой тайне» сказано также и об охране конфиденциальности информации и последствиях невыполнения необходимых мер по охране такой информации.

В Федеральном законе «О кредитных историях» говорится о создании единой системы формирования, хранения и раскрытия информации о добросовестности исполнения заемщиками обязательств перед кредиторами. Нормами закона вводится легальное определение кредитной истории, регламентируется ее состав, порядок формирования, основания хранения и использования кредитных историй, а также круг субъектов данных правоотношений, в состав которых входят: заемщики, бюро кредитных историй, пользователей кредитных историй, Центральный каталог кредитных историй .

2.02.2010 года вышел приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) N 58 об утверждении положения о методах и способах защиты информации в информационных системах персональных данных. Это положение было разработано в соответствии с Положением об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденным постановлением Правительства Российской Федерации от 17 ноября 2007 г. № 781 (Собрание законодательства Российской Федерации, 2007, № 48, ст. 6001). Данное положение устанавливает методы и способы защиты информации, применяемые для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных государственными органами, муниципальными органами, юридическими или физическими лицами, организующими и (или) осуществляющими обработку персональных данных, а также определяющими цели и содержание обработки персональных данных. В настоящем Положении не рассматриваются вопросы обеспечения безопасности персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну, а также вопросы применения криптографических методов и способов защиты информации.

1.2. Определение понятия «персональные данные» в научной литературе

В юридической литературе представлена неоднозначная классификация охраняемой законом информации (сведений).

Так, В.А. Копылов по доступу к информации подразделяет ее на открытую и ограниченного доступа.

К открытой информации он относит информацию как объект гражданских прав (произведения, патенты, авторские свидетельства); массовую информацию; информацию о выборах, референдуме (данные о ходже подготовки выборов, референдуме и результатах голосования); официальные документы (документы принятые органами законодательной, исполнительной и судебной власти, носящие обязательный, рекомендательный или информационный характер); обязательно представляемую (контрольные экземпляры документов, представляемые в органы статистики, регистрационная и другая такого рода информация); научно-юридическую и другую информацию.

К информации ограниченного доступа относится информация, составляющая государственную тайну; ноу-хау, коммерческая тайна, персональные данные (в порядке защиты личной тайны), другая информация ограниченного доступа .

Информация о гражданах (персональные данные), по мнению В.А.Копылова, создается самими гражданами в их повседневной деятельности, в том числе связанной с реализацией прав и свобод (прав на труд, на жилище, на отдых, медицинское обслуживание, социальное страхование, пенсионное обеспечение, на свободу слова и многое другое) и выполнением обязанностей (например, воинской обязанности) и представляется как сведения о себе (персональные данные) разным субъектам .

И.В. Смолькова дает следующую классификацию:

1. Государственная (в том числе военная) тайна.

2. Конфиденциальная информация.

· Личная тайна (в том числе персональные данные)

· Семейная тайна

· Профессиональная тайна

· Коммерческая тайна

На взгляд В.А. Мазурова информацию можно классифицировать следующим образом: информация открытого доступа, ограниченного доступа (конфиденциальная информация (тайна частной жизни, профессиональная тайна, служебная тайна, коммерческая тайна) и государственная тайна) .

Наличие нескольких точек зрения поп поводу классификации информации подтверждает то, что в научно-исследовательской литературе нет единого мнения по вопросам о персональных данных. Они изучаются все глубже и тщательней, что обеспечивает более полные знания об информации ограниченного доступа, а принятие множества законодательных актов, направленных на защиту различных видов тайн, обеспечивают более качественную защиту персональных данных. Но все же создание правовой базы защиты различных видов информации, и персональных данных в частности, находится на стадии становления. Несмотря на то, что число нормативных актов, регулирующих те или иные аспекты различных видов информации, насчитывает большое количество. Нельзя сказать, что правовое обеспечение защиты персональных данных удовлетворяет потребностям современного общества.

Глава 2

Защита персональных данных.

2.1. Защита персональных данных.

Вопрос о необходимости охраны и защиты персональных данных не вызывает сомнений. На данный момент Российское законодательство всеми силами пытается предотвратить нарушение прав граждан государства в сфере персональных данных. Существует масса законов обеспечивающих информационную безопасность, которые обновляются с каждым годом, создавая все большие условия по сохранности конфиденциальности персональных данных. За последние годы в Российской Федерации реализован комплекс мер по совершенствованию обеспечения ее информационной безопасности. Осуществлены мероприятия по обеспечению информационной безопасности в федеральных органах государственной власти, органах государственной власти субъектов Российской Федерации, на предприятиях, в учреждениях и организациях независимо от формы собственности.

Повышению информационной безопасности способствует международное сотрудничество Российской Федерации со странами мирового сообщества в области обеспечения информационной безопасности. Это неотъемлемая составляющая политического, военного, экономического, культурного и многих других видов взаимодействия стран, входящих в мировое сообщество.

Государственная система защиты информации представляет собой совокупность органов и исполнителей, используемой ими техники защиты информации, а также объектов защиты, организованная и функционирующая по правилам, установленным соответствующими правовыми, организационно-распорядительными и нормативными документами в области защиты информации. Так же является составной частью системы обеспечения национальной безопасности Российской Федерации и призвана защищать безопасность государства от внешних и внутренних угроз в информационной сфере.

Государственная система защиты информации как система более сложная, включает в себя подсистемы лицензирования деятельности предприятий в области защиты информации, сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации.

Органы, которые регулируют защиту персональных данных:

· Федеральная служба технического и экспортного контроля (ФСТЭК России) и ее территориальные органы (региональные управления в субъектах Российской Федерации)

· Федеральные органы исполнительной власти, другие органы и организации Российской Федерации, руководящие работники которых входят в состав коллегии ФСТЭК России по должности (Минюст, Минобороны, МЧС, МВД, МИД, Минпромэнерго, Минэкономразвития, Минприроды, ФСО, ФСБ, СВР, ГУСП, РАН, ЦБР)

· Структурные подразделения по защите информации федеральных органов исполнительной власти, других органов государственной власти и организаций Российской Федерации

· Предприятия, проводящие работы с использованием сведений, отнесенных к информации ограниченного доступа, и их подразделения по защите информации

· Научно-исследовательские организации по проблемам защиты информации

· Организации-разработчики средств защиты информации, защищенных технических средств и средств контроля эффективности защиты информации

· Предприятия, оказывающие услуги в области защиты информации

· Организации Федерального агентства по техническому регулированию и метрологии (бывшего Госстандарта России), выполняющие работы по стандартизации в области защиты информации

· Органы системы лицензирования деятельности в области защиты информации

· Органы системы сертификации средств защиты информации

· Органы системы аттестации объектов защиты по требованиям безопасности информации

Правовые меры – деятельность законодательных органов по созданию правовой базы, обеспечивающей надлежащее формирование, распространение и использование информации; регулирующей деятельность субъектов, осуществляющих создание, преобразование и потребление информации; предусматривающей ответственность за нарушение в информационной сфере, меры обеспечения безопасности и правовой защиты информации, информационной инфраструктуры .

Правовая основа механизма защиты персональных данных сформировалась по двум направлениям: специализированное законодательство и иное законодательство, которое лишь частично содержит правовые нормы, гарантирующие неприкосновенность частной жизни и регулирующие сферу защиты персональных данных. К специализированному законодательствуотносятся такие правовые акты как: Федеральный закон «О персональных данных» от 27 июля 2006 г., Федеральный закон «Об информации, информационных технологиях и защите информации» от 27 июля 2006 г., Указ Президента РФ от 6 марта 1997 г. №188, утверждающий «Перечень сведений конфиденциального характера», и другие.

Правовые нормы, регулирующие работу с персональными данными, содержатся также в главе 14 Трудового кодекса РФ «О защите персональных данных работника», в Законе «Об архивном деле в Российской Федерации» от 22 октября 2004 г. (ст.25), в Законе «Об оперативно-розыскной деятельности» (ст. 3, 5, 9, 10, 12, 21), в Законе «О средствах массовой информации» (ст. 41, 43, 46, 51, 57), Закон «Об индивидуальном (персонифицированном) учете в системе государственного пенсионного страхования», в соответствии с которым персональные данные содержатся в индивидуальном лицевом счете застрахованного лица, нормы о защите сведений, полученных в ходе всероссийской переписи населения (персональные данные) содержатся в Законе «О всероссийской переписи населения».

В Европейском Союзе вопросам защиты интересов владельцев персональных данных, которые были подвергнуты электронной обработке, посвящена Конвенция СЕ «О защите физических лиц при автоматизированной обработке персональных данных», подписанная в Страсбурге (Франция) в 1981 году. Федеральный закон о ратификации Конвенции был подписан Президентом РФ 19 декабря 2005 года.

В соответствии со ст. 5 Конвенции, персональные данные, подвергающиеся автоматизированной обработке:

a) собираются и обрабатываются на справедливой и законной основе;

б) хранятся для определенных и законных целей и не используются иным образом, несовместимым с этими целями;

в) являются адекватными, относящимися к делу и не чрезмерными для целей их хранения;

г) являются точными и, когда это необходимо, обновляются;

д) сохраняются в форме, позволяющей идентифицировать субъекты данных, не дольше, чем это требуется для целей хранения этих данных .

Основным Законом, регулирующим защиту персональных данных в Российской Федерации, является Федеральный Закон «О персональных данных». Основу этого Закона составляют базовые принципы и условия обработки персональных данных, которые были разработаны во исполнение норм Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных», а также положений Директивы Европейского Парламента и Совета Европы 95/46/ЕС «О защите личности в отношениях обработки персональных данных и свободном обращении этих данных» и Директивы Европейского Парламента и Совета Европы 2002/58/ЕС от 12 июля 2002 г., касающейся защиты персональных данных и защиты личных данных в электронном коммуникационном секторе, которая заменила Директиву Европейского Парламента и Совета Европы 97/66/ЕС от 15 декабря 1997 г., регламентирующую использование персональных данных и гарантирующую неприкосновенность частной жизни в сфере телекоммуникаций.

Принципы и условия, обработки персональных данных, которые дополняются также обязательными базовым требованиям, предъявляемыми к деятельности по обработке персональных данных, соответствуют принципам и критериям, касающимся персональных данных и легитимизации их обработки, установленные в статьях 6 и 7 Директивы95/46/ЕС. Статья 5 Закона «О персональных данных» устанавливает шесть принципов обработки персональных данных, защищающих персональную информацию человека; данные принципы схожи с принципами, содержащимися во многих европейских правовых актах. Во-первых, персональные данные должны собираться и использоваться законно и добросовестно. Эта норма говорит о том, что персональные данные должны быть собраны и использованы в соответствии с законодательством РФ и только с согласия субъекта персональных данных, но за исключением случаев, четко оговоренных в части 2 статьи 6 Закона, когда такое согласие не требуется. Согласие на обработку своих персональных данных субъект персональных данных должен дать в письменной форме; содержание этого документа четко установлено в п. 4 статьи 9 Закона. К примеру, в письменном согласии субъекта должна быть обязательно указана цель обработки персональных данных и их перечень, а также срок, в течение которого действует согласие и порядок его отзыва.

Во-вторых, заранее четко определенные цели использования персональных данных не должны изменяться. Персональные данные не могут собираться и использоваться для иных целей, о которых субъект, давший письменное согласие на обработку своих данных, не был заранее информирован (п.2 ч. 1 ст. 5).

В-третьих, объем, характер и способы обрабатываемых персональных данных должны соответствовать целям обработки персональных данных. Эта норма направлена на исключение ситуаций, когда при сборе персональных данных пытаются получить иную персональную информацию, выходящую за рамки объявленных целей.

В-четвертых, персональные данные должны быть достоверными, а объем собираемой персональной информации должен быть оправдан целями ее сбора. Объем собираемых персональных данных не должен быть избыточным, если это не соответствует определенным и законным целям. При этом, если обнаружено, что были допущены ошибки и персональные данные неточны, субъекту персональных данных принадлежит право внести необходимые изменения (п.3 статья 20).

В-пятых, Закон запрещает объединение персональных данных в единую информационную систему персональных данных, которые были собраны операторами персональных данных для разных целей. Эта норма направлена на то, чтобы избежать ситуации, когда оператор связи содержит базу персональных данных человека, и в случае утечки такой базы, человек будет уязвим перед несанкционированным и недобросовестным использованием этих сведений.

И, наконец, в-шестых, хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении. Эта норма соответствует п. «е» статьи 5 Конвенции «О защите физических лиц при автоматизированной обработке персональных данных» и также направлена на защиту субъекта персональных данных от несанкционированного использования его персональных данных. Стоит иметь в виду, что данное правило не относится к персональным данным человека, содержащимся в архивных документах, срок хранения которых установлен Законом «Об архивном деле в Российской Федерации» 2004 г.

Доктрина информационной безопасности РФ, утвержденная Президентом РФ 9 сентября 2000г. представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации. Доктрина информационной безопасности определяет 4 основные составляющие национальных интересов РФ в информационной сфере, в том числе соблюдение конституционных прав и свобод человека и гражданина в области получения информации и пользования ею, а также защиту информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем.

Настоящая доктрина служит основой для:

· Формирования государственной политики в области обеспечения информационной безопасности РФ;

· Подготовки предложений по совершенствованию правового, методического, научно-технического и организационного обеспечения информационной безопасности РФ;

· Разработки целевых программ обеспечения информационной безопасности Российской Федерации .

Настоящая Доктрина развивает Концепцию национальной безопасности Российской Федерации применительно к информационной сфере.

В пункте 2 Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных говорится о том, что безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий. В пункте 10 сказано, чтобезопасность персональных данных при их обработке в информационной системе обеспечивает оператор или лицо, которому на основании договора оператор поручает обработку персональных данных (далее - уполномоченное лицо).При обработке персональных данных в информационной системе должно быть обеспечено:

· проведение мероприятий, направленных на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации;

· своевременное обнаружение фактов несанкционированного доступа к персональным данным;

· недопущение воздействия на технические средства автоматизированной обработки персональных данных, в результате которого может быть нарушено их функционирование;

· постоянный контроль за обеспечением уровня защищенности персональных данных.

· возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных из-за несанкционированного доступа к ним ;

2.2. Ответственность за нарушение работы с персональными данными

Закон устанавливает, что лица, виновные в нарушении требований настоящего Закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность . В случае нарушения прав субъекта персональных данных, он может обжаловать действия или бездействия в Уполномоченныйорган по защите персональных данных или в судебном порядке. Уполномоченный орган по защите прав субъекта персональных данных является новым для России институтом, деятельность которого направлена на осуществление контроля и надзора за обработкой персональных данных. Уполномоченный орган имеет право обращаться в суд с исковыми заявлениями для защиты персональных данных и представлять интересы субъектов персональных данных в суде.

Дисциплинарная ответственность должна быть установлена внутренними правилами распорядка организации (в данном случае оператора). В виде дисциплинарной ответственности работнику, совершившему какой-либо дисциплинарный проступок в связи с обработкой персональных данных, не повлекший за собой административную, гражданскую или уголовную ответственность, может быть вынесено замечание, выговор, или он может быть уволен по соответствующим основаниям, предусмотренным ст.81 Трудового кодекса РФ. В Трудовом кодексе РФ четко не установлен вид дисциплинарной ответственности за нарушение порядка обработки персональных данных, а лишь указано, за нарушение норм защиты персональных данных работника также устанавливается гражданская, уголовная, административная, дисциплинарная ответственность.

Что касается гражданской ответственности, то субъект персональных данных в порядке гражданского судопроизводства может требовать возмещение убытков и (или) компенсацию морального вреда.

В соответствии со статьей 13.11 Кодекса РФ об административных правонарушениях (КоАП) административная ответственность предусмотрена за нарушение установленного Законом «О персональных данных» порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) в виде предупреждения или наложения на граждан административного штрафа в размере от трех до пяти минимальных размеров оплаты труда (МРОТ), от пяти до десяти МРОТ для должностных лиц и от пятидесяти до ста МРОТ для юридических лиц. Разглашение информации, доступ к которой ограничен федеральным законом, лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, влечет за собой наложение административного штрафа на граждан в размере от пяти до десяти МРОТ, а на должностных лиц - в размере от сорока до пятидесяти МРОТ .

Посколькузащита персональных данных человека являются составной частью института гарантий неприкосновенности частной жизни человека, нормы особенной части Уголовного кодекса РФ относительно уголовной ответственности за нарушение неприкосновенности частной жизни человека распространяются, в том числе, и на порядок защиты персональных данных. Так, уголовная ответственность статьей 137 Уголовного кодекса РФ устанавливается за незаконное собирание или распространение сведений о частной жизни лица, составляющих личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации. Указанные деяния наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до одного года, либо арестом на срок до четырех месяцев. Те же деяния, совершенные лицом с использованием своего служебного положения, наказываются штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет, либо арестом на срок от четырех до шести месяцев.

Заключение

Таким образом, проанализировав ситуацию по поводу охраны персональных данных, можно сделать следующие выводы.

Существует несколько точек зрения по поводу классификации информации, но в целом, ее можно разделить на информацию открытого и ограниченного доступа. Ограничение доступа к информации может устанавливаться только федеральными законами. Перечень информации ограниченного доступа, установлен в Указе Президента «Об утверждении перечня сведений конфиденциального характера». К таким сведениям относятся и персональные данные.

Следуя статье 3 Федерального закона «О персональных данных», можно сформировать следующее определение понятия «персональные данные» - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация.

Также, благодаря нормативно-правовым актам и научно-исследовательским работам становиться ясно, что персональные данные являются конфиденциальной информацией и что за нарушение работы с ними наступает юридическая ответственность.

Что касается защиты персональных данных, то нужно заметить, что безопасность персональных сведений находится на высоком уровне. Этому способствуют как правовая база, так и многочисленные средства технического контроля. Законодательствами стран Европы и Российской Федерации предусмотрены практически все необходимые нормы для защиты этой категории правоотношений. Основным Законом, регулирующим работу с персональными данными, является Федеральный закон «О персональных данных». В нем описаны основные принципы и условия обработки и защиты таких сведений

Закон устанавливает, что лица, виновные в нарушении требований настоящего закона, несут гражданскую, уголовную, административную, дисциплинарную и иную, предусмотренную законодательством Российской Федерацией, ответственность.

Обилие нормативно-правовых актов, регулирующих отношения в сфере персональных данных, обеспечивает надежную защиту безопасности информации ограниченного доступа, но следует заметить, что необходимо дальнейшее совершенствование механизмов защиты персональных данных, находящихся в распоряжении федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации, органов местного самоуправления и др.

Список источников и литературы

Источники

1. Конституция Российской Федерации принята на всенародном голосовании 12 декабря 1993 г.– М., 2002.

2. Всеобщая декларация прав человека (принята на третьей сессии Генеральной Ассамблеи ООН резолюцией 217 А (III) от 10 декабря 1948 г.)//СПС Консультант плюс, 2009 г.

3. Конвенция о защите прав человека и основных свобод (Рим, 4 ноября 1950 г.) (с изменениями от 21 сентября 1970 г., 20 декабря 1971 г., 1 января, 6 ноября 1990 г., 11 мая 1994 г.)//СПС Консультант плюс, 2009 г.

4. Международный пакт о гражданских и политических правах (Нью-Йорк, 19 декабря 1966 г.)//СПС Консультант плюс, 2009 г.

5. Конвенция о защите физических лиц при автоматизированной обработке персональных данных от 28 января 1981 года (ратифицирована РФ 19 декабря 2005 года)// СПС Консультант плюс, 2009 г.

6. Федеральный закон РФ от 27 июля 2006 г. N 152-ФЗ «О персональных данных»//СПС Консультант плюс, 2009 г.

7. Федеральный закон РФ от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и защите информации" //СПС Консультант плюс, 2009 г.

8. Федеральный Закон РФ от 12 августа 1995 № 144-ФЗ “Об оперативно - розыскной деятельности” // СПС Консультант плюс, 2009 г.

10. Перечень сведений конфиденциального характера (утв. Указом Президента РФ от 6 марта 1997 г. N 188) //СПС Консультант плюс, 2009 г.

11. Гражданский кодекс Российской Федерации от 30 ноября 1994 г. N 51-ФЗ (с изменениями и дополнениями, вступившими в силу 11 января 2009г.) //СПС Консультант плюс, 2009 г.

12. Уголовный кодекс РФ от 13 июня 1996 г. № 63-ФЗ (с изменениями от 30 декабря 2008г.) //СПС Консультант плюс, 2009 г.

13. Кодекс Российской Федерации об административных правонарушениях от 20 декабря 2001 г. N 195-ФЗ (с изменениями от 30 декабря 2008 г.) //СПС Консультант плюс, 2009 г.

14. Трудовой кодекс Российской Федерации от 30 декабря 2001 г. N 197-ФЗ (с изменениями от 24, 25 июля 2002 г., 30 июня 2003 г.) //СПС Консультант плюс, 2009 г.

15. Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных от 17 ноября 2007г. N-781(утв. Постановлением Правительства РФ)//СПС Консультант плюс, 2009г.

Список литературы

1. Алимова Н.А. Большой справочник кадровика. – М.: Издательско-торговая корпорация «Дашков и Кْ», 2007. – 536 с.

2. Копылов В.А. Информационное право. М.: Юристъ, 2005. – 512 с.

3. Магнитская Е.В. Правоведение: учебник, Е.В. Магнитская, Е.П. Евстигнеев: Питер, 2003. - 512с.

4. Мазуров В.А. Уголовно-правовые аспекты информационной безопасности: учебное пособие – Барнаул: Изд-во Алт. Ун-та, 2004. – 288с.

5. Поляков В.В., Мазуров В.А. Проблемы правовой и технической защиты: сб. науч. ст./ АлтГУ, 2008. – 179 с.

6. Саидов А.Г. Конституционно-правовые основы обеспечения информационной безопасности Российской Федерации: автореферат: Махачкала, 2004. – 26 с.

7. Смолькова И.В. Проблемы охраняемой законом тайны в уголовном процессе. – М.: 1999. – 346 с.

8. Теория оперативно-розыскной деятельности: учебник. Ред. – сост. К.К. Горяинов, В.С. Овчинский, Г.К. Синилов – М.: Лист Нью, 2008. - 842 с.

9. Ярочкин В.И. Информационная безопасность: учебник для ВУЗов. - М.: Гаудеамус, 2004. - 544с.

Конституция Российской Федерации, принятая на всенародном референдуме 12 декабря 1993 года//СПС Консультант плюс, 2009 г.

Магнитская Е.В. Правоведение: учебник, Е.В. Магнитская, Е.П. Евстигнеев: Питер, 2003. – С. 346.

Саидов А.Г. Конституционно-правовые основы обеспечения информационной безопасности РФ: Махачкала, 2004. – С. 24.

Ярочкин В.И. Информационная безопасность. – М.: Гаудеамус, 2004. – С.31-49, 99-117.

Поляков В.В., Мазуров В.А. Проблемы правовой и технической защиты: сб. науч. ст./ АлтГУ, 2008. – С. 73-76.

Алимова Н.А. Большой справочник кадровика. – М.: Издательско-торговая корпорация «Дашков и Кْ», 2007. – С. 126-129, 192-196.

Мазуров В.А. Уголовно-правовые аспекты информационной безопасности: Издательство Алтайского университета, 2004. – С. 12-16.

Всеобщая декларация прав человека (принята на третьей сессии Генеральной Ассамблеи ООН резолюцией 217 А (III) от 10 декабря 1948 г.)//СПС Консультант плюс, 2009г.

Конвенция о защите прав человека и основных свобод (Рим, 4 ноября 1950 г.) (с изменениями от 21 сентября 1970 г., 20 декабря 1971 г., 1 января, 6 ноября 1990 г., 11 мая 1994 г.) //СПС Консультант плюс, 2009г. ст. 8.

Международный пакт о гражданских и политических правах (Нью-Йорк, 19 декабря 1966 г.)//СПС Консультант плюс, 2009г. ст. 17.

Конституция Российской Федерации от 12 декабря 1993 г.//СПС Консультант плюс, 2009 г. ст.15

Федеральный закон № 152-ФЗо «персональных данных» //СПС Консультант плюс, 2009г. гл.1 ст.2

Федеральный закон № 152-ФЗ о «персональных данных» гл.1 ст.3: оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных;

Федеральный закон N24-ФЗ «Об информации, информатизации и защите информации» от 20.02.1995 г.//СПС Консультант плюс, 2009г. ст.

Мазуров В.А. Уголовно-правовые аспекты информационной безопасности: учебное пособие – Барнаул: Изд-во Алт. Ун-та, 2004. – С. 244.

Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных от 17 ноября 2007г. N-781//СПС Консультант плюс, 2009г., п. 11.

Федеральный закон Российской Федерации от 27.07.2006 г. N 152-ФЗ «О персональных данных»// СПС Консультант плюс, 2009 г., ст. 24.

Трудовой кодекс Российской Федерации от 30 декабря 2001 г. N 197-ФЗ (с изменениями от 24, 25 июля 2002 г., 30 июня 2003 г.) //СПС Консультант плюс, 2009 г., ст. 13.14.