Персональные данные

Персона́льные данные (сокр. ПДн) или личностные данные — сведения, относящиеся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных), которые могут быть предоставлены другим лицам.

Хотя концепция персональных данных довольно стара, развитие сетей связи и автоматизированного анализа данных позволило централизованно собирать и массово продавать данные о человеке, в некоторых случаях — даже воровать. Эти данные помогают выследить человека, спланировать преступление против него или постороннему выдать себя за другого; более мирное применение таким персональным данным — реклама.

Персональные данные — это юридическое, а не техническое понятие, тем не менее современные технологии анализа данных позволяют отличить одного человека от другого по косвенным признакам.

Защита персональных данных и ответственность

Юридическая ответственность

Ответственность за разглашение персональных сведений на территории РФ наступает, в соответствии с частью 1, 2, ст. 13 Федерального закона № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» по отношению к сведениям, которые составляют, например, врачебную тайну, разглашение которых не допускается, в том числе после смерти гражданина. К ним относятся:

• сведения о факте обращения гражданина за оказанием медицинской помощи;
• сведения о состоянии здоровья и диагнозе гражданина;
• иные сведения, полученные при медицинском обследовании и лечении гражданина.

Также в примечании к статье ст. 137 УК РФ говорится, что она предусматривает уголовную ответственность за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия, либо распространение этих сведений в публичном выступлении, публично демонстрируемом произведении или СМИ, а также за те же деяния, совершенные лицом с использованием своего служебного положения. Из приведённых статей ясно, что к ответственности может быть привлечено любое лицо, нарушающее ФЗ. Выходит, что пока мобильные приложения (соцсети и др.), а также интернет вещей (IoT) не выполняют никаких действий без их подтверждения, то есть требования закона соблюдаются, но необходима особенная внимательность пользователя при подтверждении тех или иных прав на доступ к конфиденциальной информации. Это касается и стандартов защиты корпоративных данных.

Защита персональных данных в соцсетях

Хотя имеется возможность настройки пользовательского доступа в соцсетях, это не решает проблемы защиты персональных данных. Существуют и другие пути утечки данных, а именно: общедоступные данные, добровольно размещаемые пользователями в социальных сетях, могут быть обработаны сторонними сервисами, но у физического лица всегда есть право на исключение этих данных путём направления соответствующего требования оператору персональных данных (например, оператору связи или хостеру), по которому последний обязан немедленно прекратить обработку персональных данных этого лица. Также не стоит забывать про возможность утечки информации.

Обнародование персональной информации судами

В силу ст. 13 Федерального закона от 22.12.2008 N 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации» обнародование информации о деятельности судов в средствах массовой информации осуществляется в соответствии с законодательством Российской Федерации о средствах массовой информации, к которым относится Закон РФ от 27.12.1991 N 2124-1 «О средствах массовой информации», а также издаваемые в соответствии с ним иные нормативные правовые акты Российской Федерации. На основании п. В ч. 2 ст. 14 Федерального закона от 22.12.2008 N 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации» в сети «Интернет» размещаются сведения о находящихся в суде делах: регистрационные номера дел, их наименования или предмет спора, информация об участниках судебного процесса, информация о прохождении дел в суде, а также сведения о вынесении судебных актов по результатам рассмотрения дел.

Информация об участниках судебного процесса размещается в сети «Интернет» с учётом требований, предусмотренных статьей 15 Федерального закона от 22.12.2008 N 262-ФЗ «Об обеспечении доступа к информации о деятельности судов в Российской Федерации». В силу абз. 1 ч. 4 ст. 15, персональными данными являются фамилии, имена и отчества участников судебного процесса, дата и место рождения, место жительства или пребывания, номера телефонов, реквизиты паспорта или иного документа, удостоверяющего личность, идентификационный номер налогоплательщика - физического лица, основной государственный регистрационный номер индивидуального предпринимателя, страховой номер индивидуального лицевого счета. При размещении в сети «Интернет» текстов судебных актов, принятых судами общей юрисдикции, Верховным Судом Российской Федерации, за исключением текстов судебных актов, принятых Верховным Судом Российской Федерации в соответствии с арбитражным процессуальным законодательством, в целях обеспечения безопасности участников судебного процесса и защиты государственной и иной охраняемой законом тайны из этих актов исключаются персональные данные, указанные в части 4 статьи 4 ФЗ N 262-ФЗ.

Вместо исключённых персональных данных используются инициалы, псевдонимы и другие обозначения, не позволяющие идентифицировать участников судебного процесса.

Не подлежат исключению идентификационный номер налогоплательщика - индивидуального предпринимателя, основной государственный регистрационный номер индивидуального предпринимателя, фамилии, имена и отчества истца, ответчика, третьего лица, гражданского истца, гражданского ответчика, административного истца, административного ответчика, заинтересованного лица, лица, в отношении которого ведется производство по делу об административном правонарушении, фамилии, имена и отчества осуждённого, оправданного, секретаря судебного заседания, судьи (судей), рассматривавшего дело, а также прокурора, адвоката и представителя.

Федеральный закон «О персональных данных» регулирует отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, органами местного самоуправления, иными муниципальными органами, юридическими лицами и физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях (часть 1 статьи 1). Согласно части 2 статьи 8 Закона о персональных данных сведения о субъекте персональных данных должны быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов. В силу пункта 5 части 2 указанный Федеральный закон не распространяется на отношения, возникающие при предоставлении уполномоченными органами информации о деятельности судов в Российской Федерации в соответствии с Федеральным законом от 22.12.2008 N 262-ФЗ "Об обеспечении доступа к информации о деятельности судов в Российской Федерации", который является специальным законом, подлежащим применению к спорным правоотношениям.

Персональные данные в цифровых медиа

Другим аспектом персонализации является растущая распространённость открытых данных в Интернете. Многие компании предоставляют свои данные в Интернете через API, веб-сервисы и стандарты открытых данных. Данные, предоставляемые таким образом, структурированы, чтобы их можно было связывать и повторно использовать третьими сторонами. Доступ к данным, доступным в личном социальном графе пользователя, может осуществляться сторонним программным обеспечением, подходящим для персонализированной веб-страницы или информационного устройства.

Веб-страницы могут быть персонализированы на основе характеристик пользователей (интересов, социальной категории, контекста и др.), действий, намерений совершить покупку, проверить статус объекта или т.д. Обратите внимание, что этот опыт редко является просто приспособлением для пользователя, но представляет собой взаимосвязь между пользователем и желаниями дизайнеров сайта при осуществлении конкретных действий для достижения целей (например, увеличение конверсии продаж на странице).

Персонализация также рассматривается для использования в менее открытых коммерческих приложениях для улучшения взаимодействия с пользователем в Интернете.

Массовая персонализация

Массовая персонализация определяется как индивидуальная настройка в соответствии со вкусами и предпочтениями конечных пользователей. Массовая персонализация может рассматриваться как совместная работа между клиентами и производителями, которые имеют разные наборы приоритетов и нуждаются в совместном поиске решений, которые наилучшим образом соответствуют индивидуальным потребностям клиентов с возможностями настройки производителей.

Основное различие между массовой кастомизацией и массовой персонализацией заключается в том, что кастомизация — это способность компании предоставлять своим клиентам возможность создавать и выбирать продукт в соответствии с определенными спецификациями, но имеет ограничения. Один пример массовой персонализации: веб-сайт, зная местоположение пользователя и покупательские привычки, будет предлагать предложения, адаптированные к демографии этого пользователя. Каждый пользователь классифицируется по определенной характеристике (местоположение, возраст и т.д.). Поведенческий таргетинг представляет собой концепцию, похожую на массовую персонализацию.

Нормативная база

Нормативной основой защиты персональных данных являются нормы Конституции РФ, Федерального закона «О персональных данных», Указ Президента РФ «О перечне сведений конфиденциального характера» и другие акты. Правовой основой для него послужила Всеобщая декларация прав человека, провозглашенная Генеральной Ассамблеей Организации Объединённых Наций в 1948 г. Согласно ст. 12 этого документа, «никто не может подвергаться произвольному вмешательству в его личную и семейную жизнь произвольным посягательством на его честь и репутацию». Положения Декларации получили своё дальнейшее развитие в других международно-правовых документах и документах Европейского союза, в частности, в принятой 4 декабря 1950 г. Европейской конвенции о защите прав человека и основных свобод.

28 января 1981 г. Совет Европы принял Конвенцию о защите физических лиц при автоматизированной обработке персональных данных (далее — Конвенция о защите физических лиц) и Дополнительный протокол к Конвенции, касающийся наблюдательных органов и трансграничной передачи данных. Были приняты также две директивы Европарламента и Совета Европейского союза (Директива 95/46/ЕС от 24 октября 1995 г. о защите прав частных лиц применительно к обработке персональных данных и о свободном движении таких данных и Директива 97/66/ЕС от 15 декабря 1997 г., касающаяся использования персональных данных и защиты неприкосновенности частной жизни в сфере телекоммуникаций); а также Рекомендации Комитета министров государствам — членам Совета Европы по защите неприкосновенности частной жизни в Интернете (19 февраля 1999 г.)

Федеральный закон Российской Федерации от 27 июля 2006 г. 152-ФЗ «О персональных данных» является базовым в проблематике защиты персональных данных. Данный закон принят в целях исполнения международных обязательств РФ, возникших после подписания и ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных от 28 января 1981 года. Конвенция ратифицирована с поправками, одобренными Комитетом министров Совета Европы 15 июня 1999 года, подписанную от имени Российской Федерации в городе Страсбурге 7 ноября 2001 года.

Одним из главных требований Конвенции и 152-ФЗ является взятие с субъекта персональных данных согласия на обработку персональных данных.

Постановление Правительства Российской Федерации от 1 ноября 2012 г. N 1119 г. «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» определяет уровни защищенности и новые типы информационных систем.

Документ предписывает Федеральной службе безопасности Российской Федерации и Федеральной службе по техническому и экспортному контролю утвердить в пределах своей компетенции нормативные правовые акты и методические документы, необходимые для выполнения требований, предусмотренных Положением.

В 2008 году были приняты следующие документы (согласно Постановлению Правительства РФ № 781 — в настоящее время действие данного постановления отменено, однако методические материалы используются).

В 2012 году было принято новое Постановление Правительства № 1119, а в 2013 году введён в действие новый Приказ ФСТЭК № 21, а также очередные правки в Федеральном законе № 152 от 27.07.2011. Данные документы предъявляют новые требования к оператору персональных данных.

Федеральный закон РФ

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»

Указ Президента РФ

• Указ президента Российской Федерации от 6 марта 1997 года № 188 «Об утверждении перечня сведений конфиденциального характера»

Постановления Правительства Российской Федерации

• «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных» от 06.07.2008 № 512;
• «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» от 15.09.2008 № 687;
• «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» от 01.11.2012 № 1119.

Методические материалы Роскомнадзора

• «Об утверждении требований и методов по обезличиванию персональных данных» приказ Роскомнадзора от 05.09.2013 № 996 (Зарегистрировано в Минюсте России 10.09.2013 N 29935);
• "Методические рекомендации по применению приказа Роскомнадзора от 5 сентября 2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных» утв. Роскомнадзором 13.12.2013;

Методические материалы ФСТЭК России

• «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных» от 15 февраля 2008 года;
• «Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных» утв. ФСТЭК РФ 14 февраля 2008 года;
• «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» приказ ФСТЭК России от 18.02.2013 № 21 (Зарегистрировано в Минюсте России 14.05.2013 № 28375).

Документы, которые не применяются:

• с 15 марта 2010 года:
  • «Основные мероприятия по организации технического обеспечения безопасности персональных данных, обрабатываемых в информационных системах персональных данных» от 15 февраля 2008 года (пометка «для служебного пользования» снята Решением ФСТЭК России от 11 ноября 2009 года).
  • «Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» от 15 февраля 2008 года (пометка «для служебного пользования» снята Решением ФСТЭК России от 11 ноября 2009 года).

позже:

• • «Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных» приказ ФСТЭК России от 5.02.2010 № 58 (зарегистрирован в Минюсте России 19.02.2010 № 16456).

Приказ ФСТЭК России о составе и содержании мер по обеспечению безопасности персональных данных в ИСПДн

Приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 18 февраля 2013 г. N 21 г. Москва «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных». Документ зарегистрирован в Минюсте РФ 14 мая 2013 года, опубликован 22 мая 2013 года в «Российской газете» (№ 6083), вступил в действие с 1 июня 2013 года.

Признает утратившим силу приказ ФСТЭК России от 5 февраля 2010 г. N 58 «Об утверждении о методах и способах защиты информации в информационных системах персональных данных» (зарегистрирован Минюстом России 19 февраля 2010 г., регистрационный N 16456).

Методические материалы ФСБ России

• «Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации» от 21 февраля 2008 года № 149/54-144;
• «Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных» от 21 февраля 2008 года № 149/6/6-622.
• «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности» приказ ФСБ России от 10.07.2014 № 378.

В соответствии с положениями федерального закона от 27 декабря 2009 года № 363-ФЗ «О внесении изменений в статьи 19 и 25 Федерального закона „О персональных данных“», вступившего в силу 29 декабря 2009 года, в законе № 152-ФЗ в части 1 статьи 19 было исключено требование использования оператором при обработке ПДн шифровальных (криптографических) средств. Таким образом, требования методических материалов, разработанных ФСБ России и направленных на разъяснение требований по обеспечению безопасности ПДн путём организации криптографической защиты данных, перестали носить обязательный характер.

«Приказ трёх ведомств» (отменен)

• Приказ ФСТЭК РФ N 55, ФСБ РФ N 86, Мининформсвязи РФ N 20 от 13.02.2008 «Об утверждении Порядка проведения классификации информационных систем персональных данных Архивная копия от 26 февраля 2021 на Wayback Machine» (Отменен 31 декабря.2013 г.)

Документ представляет собой методическую рекомендацию по классификации информационных систем. Проводить классификацию информационных систем персональных данных должны все операторы персональных данных, осуществляющие обработку с использованием средств автоматизации.

См. также

• Субъект персональных данных
• Информационная система
• Оператор персональных данных
• Информационное самоопределение
• Обработка персональных данных
• Уничтожение персональных данных
• Государственная информационная политика России
  • Федеральный закон «О персональных данных»
• Информационная безопасность
• Защита персональных данных
• Предотвращение утечек (Information Protection and Control, IPC)

Ссылки

• Конвенция Совета Европы "О защите физических лиц при автоматизированной обработке персональных данных"  (неопр.). Дата обращения: 17 сентября 2009. [in Roaming https://web.archive.org/web/20090428113626/http://www.medialaw.ru/laws/other_laws/european/con-autodata.htm Архивировано] 28 апреля 2009 года.