26 января 2007 г. в России вступил в действие новый федеральный закон «О персональных данных». Закон принят, главным образом, для борьбы с утечками баз данных. Однако, по мнению экспертов, страна пока не готова его выполнять.
До принятия этого закона нормы об охране персональных данных содержались, в основном, в Трудовом кодексе РФ и в старой редакции закона «Об информации, информатизации и защите информации». С принятием нового документа создается целостная система регулирования персональных данных: если раньше защищались сами базы данных, то теперь законом охраняется и их содержимое.
Само понятие персональных данных определено в новом законе шире, чем ранее: под ними понимается «любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу». В число персональных данных, наряду с фамилией, именем, отчеством, датой и местом рождения, относятся также семейное, социальное, имущественное положение, образование, профессия, национальность, наличие судимости и другая информация.
Принципиально важным в законе является список принципов, которые определяют основы и возможные пределы обработки и хранения персональных данных. Данный список включает принципы законности целей и способов обработки персональных данных и добросовестности; соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе; соответствия объема и характера обрабатываемых персональных данных, способов обработки целям; достоверности персональных данных, их достаточности для целей обработки; недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе; недопустимости объединения баз персональных данных, созданных для несовместимых между собой целей.
Также в законе устанавливается статус и детально описывается роль специального субъекта отношений — так называемого оператора. Им может быть государственный или муниципальный орган, юридическое или физическое лицо, организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и содержание обработки персональных данных.
Согласно новому закону, обработка персональных данных (в том числе сбор, систематизация, хранение, передача) может осуществляться только с согласия субъекта персональных данных. Таким образом, при приеме на работу у вас больше не имеют права потребовать сообщить о судимости и партийности. При этом в установленных законом случаях требуется письменное согласие на обработку, которое должно содержать, в частности, перечень персональных данных, на обработку которых дается согласие, сведения о лице, которому разрешается такая обработка, перечень действий, которые разрешается совершать с персональными данными, а также срок, в течение которого действует согласие. Исключением требования согласия лица могут стать случаи, когда обработка этих данных необходима для защиты его жизни и здоровья. Кроме того, разрешается обрабатывать персональные данные на основании закона, предусматривающего такую обработку, например правоохранительными органами.
Закон потребует от государства и бизнеса серьезного внимания к обороту персональных данных. Теоретически, все уже должны были быть готовы к вступлению закона в силу, и операторы должны были принять и начать следовать специальным правилам по обработке информации, а уполномоченные лица — контролировать исполнение нового закона.
Однако на практике все обстоит совсем по-другому. «Я не вижу повсеместной готовности к новым правовым реалиям, — заявил Виктор Наумов, партнер в сфере правовой защиты ИС и ИТ юрфирмы Beiten Burkhardt. — Например, компании финансового сектора, предприятия торговли (в т.ч. электронной коммерции), владельцы интернет-ресурсов и сервисов только сейчас приступают к адаптации своих бизнес-процессов к новой правовой действительности».