ФЗ от 27.06.2006 № 152-ФЗ «О персональных данных» (далее Закон) открыл новую веху в вопросе защиты прав граждан при сборе или использовании любых сведений, относящихся к ним. 

Но начнем по порядку.

Цель закона — урегулировать любые вопросы, связанные с персональными данными физического лица. Персональные данные — это любые сведения, относящиеся к конкретному лицу.

Пример 1. Иванов Иван Иванович, 01.01.1960 года рождения, паспорт № 00 00 000000 выдан ОВД Ивановского района Ивановской области, проживающий по адресу: Ивановская область, Ивановский район, ул. Ивановская, д.3.

Пример 2. Иванов Иван, 01.01.1976 года рождения, сот. телефон +7-700-700-00-00, e-mail: ivanov@700.ru

Предполагается, что закон распространяется на любые действия с персональными данными, будь то сбор, запись, накопление, хранение, использование, передача и прочие действия. Все перечисленное именуется обработкой.

Лицо, которое осуществляет обработку персональных данных, является оператором. Им может быть как физическое, так и юридическое лицо.

Исключение 1. Закон не распространяется на физических лиц, осуществляющих обработку данных, для личных или семейных нужд.

Доступ к персональным данным и их обработка должна осуществляться только в случаях, которые предусмотрены самим законом (ст.6). В качестве таких случаев может быть следующее: а) ситуации, когда есть согласие физического лица на обработку его данных; б) ситуации, когда обработка данных физического лица требуется для исполнения договора, заключенного с ним; в) ситуации, в которых осуществляется научная, творческая деятельность.

Обязанность 1. Любое лицо, получившее доступ к персональным данным не вправе раскрывать или распространять персональные данные без согласия физического лица, к которому они относятся.

Пример невыполнения обязанности

Размещение на сайте управляющей компании, выполняющей функции управления и содержания дома, сведений о должниках по уплате коммунальных услуг, с указанием их фамилии, имени, отчества, номера квартиры и суммы долга, является нарушение Закона. Подобное в свою очередь явилось основанием как для привлечения руководителя компании к административной ответственности, так и для взыскания компенсации морального вреда (Определение Ленинградского областного суда от 20 июня 2012 г. N 33а-2704/2012).

Согласие на предоставление персональных данных и их обработку должно быть подтверждено соответствующими доказательствами. Отсутствие доказательств у лица, обладающими этими данными и выполняющими обработку с высокой вероятностью будет признано нарушением Закона.

В качестве доказательств могут выступать:

• письменный документ, содержащий согласие физического лица на предоставление и обработку его данных. При этом само физическое лицо должно быть индивидуализировано (указано его фамилия, имя, отчество, паспортные данные). Также в этом документе должна быть подпись и роспись гражданина;
  
• документ, составляемый в электронном виде при осуществлении регистрации на сайте или прохождении авторизации на нем.

Обязанность 2. Лица, осуществляющие обработку персональных данных должны принимать меры, необходимые и достаточные для обеспечения выполнения всех обязанностей предусмотренных законом (например, обязанность обеспечить конфиденциальность персональных данных). Эти меры должны касаться организационных, технических, правовых и иных вопросов.

Обязанность 3. Лица, осуществляющие обработку персональных данных должны направить уведомление в Роскомнадзор об обработке персональных данных. Исключения составляют, в частности случаи, когда данные обрабатываются в соответствии с трудовым законодательством или при исполнении заключенного с физическим лицом договора.

В качестве примера, поясняющего обработку данных при исполнении договора выступает следующая ситуация: компания заключает договор на оказание услуг с физическим лицом. Данное физическое лицо предоставляет свои персональные данные. В последующем компания, исполняя обязательства по договору, направляет результат оказанных услуг по почтовому адресу физического лица, тем самым используя его персональные данные. В связи с тем, что данный случай является исключением, то компании не требуется направлять в Роскомнадзор уведомление.

Нарушение положений Закона влечет ответственность:

1. Административную. Наказание возможно в виде штрафа до 10 тыс. рублей.
    
2. Гражданско-правовую. Могут потребовать прекращения использования персональных данных, исключения (удаления) их. Также возможны требования связанные со взысканием компенсации морального вреда.

P.S. Обратим внимание, что данный закон подлежит исполнению и владельцами сайтов, содержащих регистрационные формы или предусматривающие различные формы авторизации на сайте; интернет-магазины, получающие данные о своем клиенте/покупателе и т.д.