Основы правового регулирования в сфере персональных данных

В соответствии с п. 1 ст. 3 Закона о персональных данных под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Среди персональных данных можно выделить следующие категории персональных данных.

Во-первых, персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных):

1. фамилия, имя, отчество;

2. год, месяц, дата рождения;

3. место рождения;

4. адрес;

5. телефон;

6. семейное положение;

7. социальное положение;

8. имущественное положение;

9. образование;

10. профессия;

11. занимаемая должность;

12. стаж работы;

13. доходы <1>;

--------------------------------

<1> В соответствии с письмом Роскомнадзора от 07.02.2014 N 08КМ-3681 "О передаче работодателем третьим лицам сведений о заработной плате работников" сведения о заработной плате лица являются информацией, содержащей персональные данные субъекта персональных данных.

14. иная информация.

К персональным данным несовершеннолетнего обучающегося можно отнести сведения, содержащиеся в свидетельстве о рождении, паспорте или ином документе, удостоверяющем личность, и информацию, содержащуюся в личном деле и классном журнале.

Во-вторых, специальные категории персональных данных, которые включают следующие персональные данные:

1. расовая или национальная принадлежность;

2. политические взгляды;

3. религиозные или философские убеждения;

4. состояние здоровья;

5. состояние интимной жизни.

Обработка специальных категорий персональных данных допускается только в специально предусмотренных ч. 2 ст. 10 Закона о персональных данных случаях:

1. субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;

2. персональные данные сделаны общедоступными субъектом персональных данных;

3. обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;

4. обработка персональных данных осуществляется в соответствии с Федеральным законом от 25 января 2002 года N 8-ФЗ "О Всероссийской переписи населения";

5. обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации;

6. обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;

7. обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;

8. обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;

9. обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия;

10. обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, об исполнительном производстве, уголовно-исполнительным законодательством Российской Федерации;

11. обработка полученных в установленных законодательством Российской Федерации случаях персональных данных осуществляется органами прокуратуры в связи с осуществлением ими прокурорского надзора;

12. обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством;

13. обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерации, государственными органами, муниципальными органами или организациями в целях устройства детей, оставшихся без попечения родителей, на воспитание в семьи граждан;

14. обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о гражданстве Российской Федерации.

В-третьих, биометрические персональные данные - это сведения, характеризующие физиологические и биологические особенности человека, на основе которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.

Биометрические персональные данные будут являться таковыми при наличии условий:

1. они признаны таковыми в силу положений нормативных правовых актов;

2. они характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность;

3. они используются оператором для установления личности субъекта персональных данных.

К биометрическим персональным данным относятся физиологические параметры (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и др.) и иные физиологические или биологические характеристики человека, в том числе его изображения (фотография и видеозапись), в частности фотографические изображения обучающихся, сотрудников и посетителей организации, поскольку они характеризуют физиологические и биологические особенности человека.

Отпечатки пальцев человека являются биометрическими персональными данными (дактилоскопической информацией), обработка которых осуществляется только в случаях установленных Федеральным законом от 25.07.1998 N 128-ФЗ "О государственной дактилоскопической регистрации в Российской Федерации", которым четко определены виды и порядок проведения дактилоскопической регистрации. Обработка указанных данных в иных случаях, действующим законодательством не предусмотрена. В Российской Федерации проведение государственной дактилоскопической регистрации, а также использование дактилоскопической информации осуществляются в целях идентификации личности человека. Проведение государственной дактилоскопической регистрации возможно в случаях:

1. розыска пропавших без вести граждан Российской Федерации, иностранных граждан и лиц без гражданства;

2. установления личности человека по отпечаткам пальцев (ладоней) рук неопознанного трупа;

3. установления личности граждан Российской Федерации, иностранных граждан и лиц без гражданства, не способных по состоянию здоровья или возрасту сообщить данные о своей личности либо не имеющих документов, удостоверяющих личность;

4. подтверждения личности граждан Российской Федерации, иностранных граждан и лиц без гражданства;

5. предупреждения, раскрытия и расследования преступлений, а также предупреждения и выявления административных правонарушений.

Таким образом, дактилоскопическая регистрации посетителей для осуществления однократного и (или) многократного пропуска на территорию не подпадает под действие Закона о персональных данных и в таком случае обработка биометрических персональных данных осуществляется без наличия оснований, предусмотренных законодательством Российской Федерации.

Биометрические персональные данные могут обрабатываться оператором только при согласии в письменной форме субъекта персональных данных, за исключением случаев, установленных в ч. 2 ст. 11 Закона о персональных данных, в частности согласно указанной норме обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, в связи с проведением обязательной государственной дактилоскопической регистрации, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию и о гражданстве Российской Федерации.

Не относятся к биометрическим персональным данным:

1. данные, полученные при сканировании паспорта оператором персональных данных для подтверждения осуществления определенных действий конкретным лицом (например, заключение договора на оказание услуг, в том числе банковских, медицинских и т.п.), т.е. без проведения процедур идентификации (установления личности);

2. данные, полученные при осуществлении ксерокопирования документа, удостоверяющего личность;

3. фотографическое изображение, содержащееся в личном деле работника;

4. подпись лица, наличие которой в различных договорных отношениях является обязательным требованием, и почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы;

5. рентгеновские или флюорографические снимки, характеризующие физиологические и биологические особенности человека и находящиеся в истории болезни (медицинской карте) пациента (не имеет значения, бумажной или электронной), поскольку они не используются оператором (медицинским учреждением) для установления личности пациента;

6. материалы видеосъемки в публичных местах и на охраняемой территории.

В-четвертых, общедоступные персональные данные - это сведения, доступные неограниченному кругу лиц, информация из открытых справочников, к которой доступ имеет любой желающий, в частности из таких общедоступных источников персональных данных как справочники и адресные книги.

Субъектом персональных данных является физическое лицо, в том числе граждане Российской Федерации, которое принимает решение о предоставлении своих персональных данных операторам персональных свободно, своей волей и в своем интересе.

Согласно части 1 статьи 6 Закона о персональных данных одним из правовых оснований обработки персональных данных является наличие согласия субъекта персональных данных на обработку его персональных данных.

Каждый субъект персональных данных самостоятельно принимает решение о предоставлении своих персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.

Согласие на обработку персональных данных может быть дано если иное не установлено федеральным законом в любой позволяющей подтвердить факт его получения форме, в том числе в письменной форме, с использованием электронной цифровой подписи, акцептирования публичной оферты, получения на мобильный телефон и (или) электронную почту уникальной последовательности символов и иными способами и формами.

Вместе с тем, в случаях, когда Законом о персональных данных предусмотрена обработка персональных данных только с согласия в письменной форме субъекта персональных данных, то равнозначным признается только согласие в форме электронного документа, подписанного с электронной подписью.

Источником получения персональных данных может быть как непосредственно субъект персональных данных (иное лицо, действующее от имени или по поручению субъекта персональных данных на законных основаниях), так и лицо, не имеющее правовых оснований для раскрытия конфиденциальной информации о субъекте персональных данных, а также общедоступные источники.

Закон о персональных данных предусматривает возможность дачи согласия в случае недееспособности субъекта персональных данных законным представителем субъекта персональных данных, в том числе законными представителями несовершеннолетнего являются его родители, а законным представителем лица, лишенного дееспособности, выступает его опекун. В то же время, для предоставления согласия на обработку персональных данных ребенка в письменной форме, достаточно подписи одного из родителей в соответствии с п. 1 ст. 61 Семейного кодекса Российской Федерации.

Документами, подтверждающими законность представительства, могут являться свидетельство о рождении, акт о назначении опекуном, а в случае добровольного представительства надлежащим образом оформленная доверенность в простой письменной форме.

Необходимо отметить, что при лишении права представительства право дачи согласия от имени недееспособности субъекта персональных данных утрачивается, в частности родитель (законный представитель), лишенный или ограниченный в родительских правах на основании вступившего в законную силу постановления суда, не имеет права дачи согласия дачи согласия на обработку персональных данных от имени ребенка.

Однако, в настоящее время в законодательстве Российской Федерации при обработке биометрических персональных данных несовершеннолетних необходимо руководствоваться частями 1 и 2 статьи 11 Закона о персональных данных, согласно которым обработка биометрических персональных данных несовершеннолетних в силу их недееспособности, в том числе с согласия в письменной форме законного представителя субъекта персональных данных на обработку его биометрических персональных данных, не допускается, за исключением случаев, предусмотренных ч. 2 ст. 11 Закона о персональных данных.