Закон «О персональных данных» накроет бизнес исками

Деятельность российских компаний, основой бизнеса которых является работа с базами данных физических лиц, может быть парализована законом «О персональных данных». Из-за ряда связанных с ним проблем они могут столкнуться со всплеском потребительских исков. До настоящего времени ни законодатель, ни регулятор - Россвязьохранкультура - не дают указаний, каким образом должен выполняться закон, принятый в июле 2006 г. и вступивший в действие 1 января 2007 г. Первым шагом должна стать регистрация всех операторов информационных систем обработки персональных данных на специализированном портале, который создает Россвязьохранкультура.

В соответствии с ФЗ «О персональных данных», существующие информационные системы обработки персональных данных необходимо привести в соответствие с законом до 1 января 2010 г., а уже до 10 января 2008 г. все операторы таких баз данных должны зарегистрироваться в Россвязьохранкультуры. С этой целью ведомство создает специализированный портал, на котором можно будет в автоматическом режиме внести свою компанию в специализированный реестр в качестве оператора баз персональных данных, а затем обычной почтой получить подтверждение о регистрации (на бумажном бланке). Одновременно на портале предполагается организовать форум, где представители бизнеса и простые граждане смогут обсудить проблемы, возникающие в процессе исполнения требований закона, и получить консультацию юристов.

Регистрация должна стать первым шагом к нормализации ситуации, связанной с ФЗ «О персональных данных», который действует уже почти год - при сохраняющейся неопределенности процедуры получения от граждан согласия на обработку их персональных данных. Ответственные госорганы, за все время действия закона, не представили однозначного толкования того, может ли считаться согласием то, что человек поставил галочку в соответствующем разделе анкеты, заполненной на интернет-ресурсе, подтвердил свое согласие по телефону или с помощью SMS.

Не формализованы и требования к обеспечению безопасности таких баз данных. По словам Владимира Новикова, руководителя Управления по надзору в области связи и массовых коммуникаций Россвязьохранкультуры по Москве и Московской области, в настоящее время Федеральной службой безопасности РФ и Федеральной службой по техническому и экспортному контролю РФ разрабатываются соответствующие требования. А пока операторы самостоятельно определяют необходимые меры безопасности, - отметили участники семинара «Закон "О персональных данных": практика применения», организованного «Национальной ассоциацией дистанционной торговли».

Несовершенство закона «О персональных данных» и непрозрачность путей его реализации заставляет компании, работающие, например, на рынках директ-маркетинга или страхования, быть готовыми к всплеску профессионального потребительского сутяжничества.

На вопрос участников рынка, как на практике соответствовать требованиям закона и защититься от потребительского экстремизма, Юрий Травкин, эксперт Государственной Думы ФС РФ, посоветовал в спорных случаях обращаться к Конвенции Совета Европы о защите физических лиц в отношении автоматизированной обработки данных личного характера от 28.01.1981, ратифицированной Россией в 2005 г.

Пока что российские компании пытаются обезопасить свой бизнес в меру собственных сил и способностей. Так, по словам Ирины Ковалевской, юриста компании «Директ Групп», в каждой компании необходимо разработать Положение о порядке обработки персональных данных, назначить приказами лиц, ответственных за внесение информации и ее защиту. Ренат Янгулов, юрист Издательского дома «Ридерс Дайджест» заявил, что его компания оперирует только ФИО и адресами граждан. По его мнению, российский менталитет таков, что эти сведения не являются для граждан сведениями, которые они тщательно скрывают, поэтому вероятность возникновения проблем во взаимоотношениях с клиентами в этом случае минимальна.

Под персональными данными подразумевается любая информация, относящаяся к физическому лицу, включая его фамилию, имя, отчество, год и место рождения, адрес места жительства, сведения о семейном, социальном, имущественном, служебном положении, образовании, профессии, доходах и др.

С письменного согласия субъекта персональных данных в общедоступные источники такой информации — справочники, телефонные и адресные книги — может включаться его фамилия, имя, отчество, место жительства, номер телефона и сведения о профессии. При этом такие сведения могут быть исключены из общедоступных источников по требованию субъекта персональных данных.

Согласно закону, оператор вправе получать от субъекта персональных данных только те данные, которые необходимы для достижения цели их обработки и только при согласии самого субъекта персональных данных. При этом оператор должен обеспечить конфиденциальность полученной информации.