Защита персональных данных. Что важно знать?
София Жылкайдарова,
Управляющий партнер Юридической Фирмы
SIGNUM
Виктория Трофимович,
Старший юрист Юридической Фирмы
SIGNUM
В наше время необходимость обеспечения безопасности персональных данных имеет высокую ценность. Информация в руках мошенника превращается в орудие преступления. Именно поэтому персональные данные нуждаются в серьезной защите.
В данном обзоре мы расскажем о защите персональных данных и что важно знать.
Предисловие
Становление практики защиты личной информации о физическом лице относится к середине ХХ века - периоду, когда в ООН активно утверждались различные международные акты, касающиеся прав человека: Всеобщая декларация прав человека, международные пакты о правах и др. Именно тогда цивилизованные страны всерьез задумались о гарантиях неприкосновенности частной жизни.
Само же понятие «персональные данные» сформировалось ближе к концу прошлого столетия. Связано это было с новым витком в развитии информационных технологий, в результате которого появились компьютерные средства сбора, хранения и обработки сведений о жизни человека. Подобная информация нуждалась в особой защите от несанкционированного доступа, что, в свою очередь, требовало соответствующего правового регулирования. Поэтому сначала в странах Европейского Союза, а потом и в других странах мира массово стали издаваться нормативные акты, регламентирующие вопросы защиты персональных данных физических лиц. Обратите внимание, именно физлица (граждане, иностранцы и лица без гражданства), а ни кто-либо другой, являются субъектами (носителями) персональных данных.
В вопросе защиты персональных данных не стала исключением и Республика Казахстан (далее - РК), которая еще в 1995 году в своей Конституции закрепила постулат о том, что каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну (ст. 18).
Что следует понимать под персональными данными?
В соответствии со ст. 1 Закона РК «О персональных данных и их защите» (далее - Закон) персональные данные - это сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе. Исчерпывающего перечня персональных данных в Законе нет. Однако несколькими подзаконными нормативными правовыми актами во главе с постановлением Правительства РК от 12.11.2013 № 1214 «Об утверждении Правил определения собственником и (или) оператором перечня персональных данных, необходимого и достаточного для выполнения осуществляемых ими задач», был в свое время установлен базовый перечень персональных данных. Поскольку их количество достаточно большое, указанное постановление содержит ссылку на специальные перечни, где с ними можно ознакомиться.
Итак, персональными данными человека, кроме прочего, считаются: ФИО, пол, дата и место рождения, гражданство, индивидуальный идентификационный номер, адресные сведения о месте жительства, семейное положение, имущественное состояние и другая информация, идентифицирующая конкретного человека либо относящаяся к нему.
Кто оперирует нашими персональными данными? Как это происходит?
Все персональные данные формируют базу - совокупность упорядоченных персональных данных. Субъект (а им может быть госорган, физическое или юридическое лицо), который на праве собственности владеет, пользуется и распоряжается базой персональных данных, именуется собственником. Субъект, осуществляющий сбор, обработку и защиту персональных данных, - это оператор.
Так вот, эти две категории субъектов могут накапливать, хранить, изменять, дополнять, использовать, распространять, обезличивать, блокировать и уничтожать персональные данные, а также передавать их третьим лицам.
Но для осуществления всех перечисленных действий им обязательно нужно получать согласие субъектов персональных данных, за исключением случаев, предусмотренных ст. 9 Закона. Согласие может быть предоставлено физическим лицом или его законным представителем письменно, в форме электронного документа или другим способом с применением элементов защитных действий, не противоречащих законодательству.
Важно помнить, что субъект персональных данных может в любой момент отозвать ранее предоставленное им согласие на сбор и обработку персональных данных.
Что собой представляет защита персональных данных?
В современной жизни мы постоянно вынуждены передавать свои персональные данные собственникам (операторам) - устраиваясь, скажем, на работу, оформляя кредит в банке, получая субсидию и т.д. Таким образом, мы несем определенный риск, связанный, например, с тем, что наша личная информация может попасть в руки злоумышленников или стать достоянием общественности. Чтобы этот риск нивелировать, государство гарантирует защиту персональных данных. Так, согласно ст. 22 Закона собственник и (или) оператор, а также третье лицо обязаны принимать необходимые меры по защите персональных данных, обеспечивающие:
· предотвращение несанкционированного доступа к персональным данным;
· своевременное обнаружение фактов несанкционированного доступа к персональным данным, если такой доступ не удалось предотвратить;
· минимизацию неблагоприятных последствий несанкционированного доступа к персональным данным.
Кстати, с принятием Закона, в ряд других нормативных документов РК были внесены весьма значимые с точки зрения гарантий защиты персональных данных поправки, с которыми можно ознакомиться, открыв Закон РК «О внесении изменений и дополнений в некоторые законодательные акты Республики Казахстан по вопросам персональных данных и их защиты».
Тем не менее, без наличия четкого механизма привлечения субъектов, посягающих на персональные данные, к ответственности - меры, направленные на их защиту, все равно не дадут желаемого результата.
Чем грозит нарушение законодательства о персональных данных?
Итак, что делать, если те, кому мы вверили наши персональные данные, не справились с обязанностью по их защите или иным образом нарушили законодательство о персональных данных - к примеру, произвели их незаконный сбор и (или) обработку, распространили сведения о частной жизни?
В первую очередь, субъект персональных данных может обратиться в суд для защиты своих нарушенных прав.
Так, в порядке гражданского судопроизводства можно предъявить иск к виновному лицу о запрете использования без согласия субъекта персональных данных его имени и (или) иной информации (о месте жительства и др.), а также потребовать компенсации убытков и морального вреда, причиненных нарушением неприкосновенности его персональных данных.
Кроме того, законодательство РК предусматривает привлечение нарушителей к одному из таких видов юридической ответственности:
а) административная ответственность (ст. 79 и ст. 641 Кодекса РК об административных правонарушениях) наступает в случае следующих деяний:
- незаконный сбор и (или) обработка персональных данных (влекут наказание в виде штрафа в размере от 20 до 100 месячных расчетных показателей (далее - МРП) с конфискацией предметов административного правонарушения;
- незаконный сбор и (или) обработка персональных данных совершенные собственником, оператором или третьим лицом с использованием своего служебного положения, если не влекут уголовную ответственность (штраф от 50 до 200 МРП с конфискацией предметов административного правонарушения);
- несоблюдение собственником, оператором или третьим лицом мер по защите персональных данных (штраф в размере от 100 до 300 МРП);
- несоблюдение собственником, оператором или третьим лицом мер по защите персональных данных, повлекшее утерю, незаконный сбор и (или) обработку персональных данных (если не влекут уголовную ответственность, штраф в размере от 200 до 1000 МРП);
- неосуществление или ненадлежащее осуществление собственником или владельцем мер по защите информационных систем, содержащих персональные данные (штраф в размере от 10 до 100 МРП);
- использование электронных информационных ресурсов, содержащих персональные данные о физических лицах, в целях причинения им имущественного и (или) морального вреда, ограничения реализации прав и свобод, гарантированных законами РК (штраф в размере от 10 до 200 МРП).
б) уголовная ответственность (ст. 147 и ст. 211 Уголовного кодекса РК) наступает в случае следующих деяний:
- Несоблюдение мер по защите персональных данных лицом, на которое возложена обязанность принятия таких мер, если это деяние причинило существенный вред правам и законным интересам лиц (штраф в размере до 3000 МРП, либо исправительные работы, ограничение или лишение свободы на срок до двух лет с лишением права занимать определенную должность или заниматься определенной деятельностью на срок до трех лет);
- Незаконное собирание сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо причинение существенного вреда правам и законным интересам лица в результате незаконных сбора и (или) обработки иных персональных данных (штраф в размере до 5000 МРП, либо исправительные работы, либо ограничение или лишение свободы на срок до трех лет);
- Незаконное собирание сведений о частной жизни лица с использованием своего служебного положения или специальных технических средств, либо путем незаконного доступа к электронным информационным ресурсам, информационной системе или незаконного перехвата информации по сети телекоммуникаций, либо в целях извлечения выгод и преимуществ для себя или для других лиц, организаций (лишение свободы на срок до пяти лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок от двух до пяти лет);
- Распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо причинение существенного вреда правам и законным интересам лица в результате незаконного сбора и (или) обработки иных персональных данных (лишение свободы на срок до пяти лет);
- Неправомерное распространение электронных информационных ресурсов, содержащих персональные данные граждан или иные сведения, доступ к которым ограничен законами РК или их собственником или владельцем (штраф в размере до 200 МРП либо исправительные работы, либо привлечение к общественным работам на срок до 180 часов, либо арест на срок до 60 суток, с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет);
- Неправомерное распространение электронных информационных ресурсов, содержащих персональные данные граждан или иные сведения, доступ к которым ограничен, совершенное группой лиц по предварительному сговору, из корыстных побуждений, лицом с использованием своего служебного положения (ограничение или лишение свободы на срок до пяти лет, с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет);
- Неправомерное распространение электронных информационных ресурсов, содержащих персональные данные граждан или иные сведения, доступ к которым ограничен, совершенное преступной группой и повлекшие тяжкие последствия (лишение свободы на срок от трех до семи лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет).
Вывод
Институт защиты персональных данных является одним из важнейших институтов гражданского общества. В нашей стране он достаточно молодой, и еще должным образом не изучен, поэтому в одной статье охватить все ключевые аспекты правового регулирования операций с персональными данными просто нереально.
Особенно актуальными сейчас являются нюансы сбора, обработки и защиты персональных данных работодателем при приеме на работу наемных работников, тонкости обмена персональными данными во время заключения договоров, защита личных данных в сети Интернет, а также вопросы хранения и уничтожения персональных данных. В связи с этим, мы обязательно вернемся к проблематике практической реализации казахстанского законодательства, регулирующего общественные отношения в сфере защиты персональных данных, в наших следующих публикациях. Будьте с нами!
