Перегретая тема И снова о персональных данных

На вопросы читателей «СА» отвечают сопредседатели комитета по информационной безопасности Союза ИТ-директоров России Виктор Минин и Юрий Шойдин

До наступления ответственности по Федеральному закону от 27 июля 2006 г. № 152-ФЗ «О персональных данных» остаются считанные дни. Специалисты ИТ-сообщества понимают, что аттестация своей информационной системы неизбежна.

В такой ситуации, когда тема персональных данных, по сути, «перегрета», абсолютно естественно, что некоторые коммерческие компании за баснословные деньги предлагают взволнованным руководителям ИТ и подразделений безопасности свои услуги по подготовке и аттестации ИС предприятия. Давайте постараемся разобраться в этом вопросе и понять, что можно сделать самостоятельно, а что желательно отдать стороннему консультанту.

Для начала синхронизируем понятия и разберемся, кто попадает под действие данного закона. Ведь руководители очень многих компаний склонны считать, что их организации не являются операторами персональных данных и их настоящий закон не касается.

– Кто все-таки по закону считается оператором персональных данных? Любое ли лицо, юридическое или физическое, не говоря уже о госструктурах, является оператором, если ведет хранение и обработку ПДн?

– Прежде чем говорить об операторе персональных данных и его обязанностях, напомним, что включает в себя понятие «персональные данные». В соответствии со ст. 2 Федерального закона от 20 февраля 1995 г. № 24-ФЗ «Об информации, информатизации и защите информации» с изм. на 10 января 2003 г. (СЗ РФ. 1995. № 8. Ст. 609; 2003. № 2. Ст. 167) информация о работниках (персональные данные) – это сведения о фактах, событиях и обстоятельствах жизни работника, позволяющие идентифицировать его личность.

В статье 3 Федерального закона говорится:

>  Персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

>  Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.

Итак, исходя из буквы закона персональные данные – это любые сведения, по которым можно однозначно идентифицировать физическое лицо; при этом любая организация, имеющая (обрабатывающая, накапливающая и проч.) у себя в информационной системе персональные данные даже только своих сотрудников, уже является оператором. И согласно статье 13 государственные органы, муниципальные органы также являются операторами персональных данных и в пределах своих полномочий, установленных в соответствии с федеральными законами, создают государственные или муниципальные информационные системы персональных данных.