§ 23. Персональная информационная безопасность с законодательной точки зрения

Определения и обозначения

Персональные данные — сведения, относящиеся к прямо или косвенно определённому физическому лицу. Значение имеет не название сведений, а возможность понять, о ком идёт речь: это может позволить одна деталь или сочетание нескольких. Поэтому персональными данными бывают не только паспортные реквизиты, но и фотография, имя, адрес или номер телефона. Определение нужно, чтобы понять, какие сведения защищаются специальными правилами.

Обработка персональных данных — любое действие с данными: например, их сбор, запись, хранение, использование, передача или удаление. Обработка охватывает весь путь сведений, а не только момент, когда их впервые запрашивают. Даже просмотр или изменение уже сохранённой информации относится к работе с ней. Это понятие помогает определить, на каких этапах должны соблюдаться требования закона.

Оператор персональных данных — государственный орган, организация или человек, которые определяют цели и способы обработки. Например, магазин устанавливает, какие сведения нужны для оформления заказа и как они будут использоваться. Оператор отвечает за наличие законного основания, соблюдение цели и защиту информации. Поэтому важно знать, кому именно человек доверяет свои данные.

Субъект персональных данных — человек, к которому относятся обрабатываемые сведения. Он вправе узнавать, обрабатываются ли его данные, требовать исправления неточных сведений и отозвать согласие, если обработка основана на нём. В предусмотренных законом случаях субъект может требовать прекращения обработки или удаления данных. Эти права позволяют человеку влиять на обращение с информацией о нём.

Как это устроено

Персональная информационная безопасность регулируется законом, потому что цифровые сведения способны многое рассказать о частной жизни человека. Их раскрытие или использование не по назначению может задеть достоинство, свободу и другие права. Защита нужна не только от злоумышленников: риск возникает и тогда, когда организация без оснований собирает лишнее или передаёт сведения посторонним. Правила устанавливают границы, в которых данные можно использовать.

Правовые гарантии закреплены в Конституции РФ и федеральных законах, в том числе в законах о персональных данных и об информации. Конституционные положения защищают частную жизнь, а федеральные нормы описывают обязанности участников обработки и права человека. Благодаря этому защита не зависит только от доброй воли организации. Если правила нарушены, человек может обратиться к оператору, а в предусмотренных случаях — в уполномоченные органы или суд.

Организация вправе обрабатывать данные, если у неё есть основание, предусмотренное законом, и заранее определённая конкретная цель. Такой целью может быть, например, оформление и доставка заказа, а основанием — необходимость исполнить договор. Во многих ситуациях требуется согласие человека, но закон предусматривает и другие основания. Собирать сведения «на всякий случай» или использовать их для несовместимых целей нельзя: объём обработки должен соответствовать её задаче.

После сбора данные могут храниться, проверяться, использоваться и передаваться, а в конце — удаляться или уничтожаться. На каждом этапе оператор должен ограничивать доступ теми, кому сведения нужны для работы, и применять меры защиты. Это снижает риск утечки, случайного изменения или использования посторонними. Когда цель достигнута и закон больше не требует хранить данные, оператор должен прекратить обработку и уничтожить сведения в установленном порядке.

Человек вправе запросить сведения об обработке, потребовать уточнить неточные или устаревшие данные и отозвать согласие. Если согласие отозвано, оператор обычно должен прекратить основанную на нём обработку, если нет другого законного основания продолжать её. В предусмотренных законом случаях можно потребовать прекратить обработку или удалить сведения. Поэтому важно выяснить, зачем данные продолжают хранить и на каком основании: отзыв согласия не всегда означает немедленное удаление.

Правовая защита персональных данных

Таблица помогает разобрать обработку по этапам: для каждого действия выясните его цель и основание, затем проверьте обязанности оператора и права человека. Если цель меняется, прежнее основание не следует автоматически считать подходящим для новой обработки. При сомнении уточните у оператора, какие сведения он использует и кому передаёт.

Разбор задач

Задача 1. Школьный сайт публикует фотографию ученика с именем и классом. Нужно определить, какие сведения здесь относятся к персональным данным и что проверить перед публикацией.

1. Фотография может позволить узнать ученика, а имя прямо указывает на него. Класс дополняет информацию и помогает уточнить, о ком идёт речь.
2. Вместе эти сведения позволяют идентифицировать конкретного человека. Значит, публикация касается персональных данных, даже если паспортные реквизиты не указаны.
3. Следует выяснить цель публикации и её правовое основание. Если требуется согласие, нужно проверить, дано ли оно на публикацию именно этих сведений и в таком формате.

Ответ. Фотография, имя и класс относятся к персональным данным в данном контексте. До публикации нужно установить её цель и законное основание, а также проверить необходимость согласия ученика или его законного представителя с учётом возраста и обстоятельств.

Задача 2. Интернет-магазин собирает имя, адрес и номер телефона покупателя для доставки заказа, а затем предлагает передать данные партнёрам для рекламы. Нужно разделить эти действия по целям.

1. Имя, адрес и телефон используются для оформления и доставки покупки. Проверяем, необходимы ли эти сведения для исполнения заказа и имеется ли подходящее правовое основание.
2. Рекламная передача партнёрам — отдельная цель, не совпадающая с доставкой. Сам факт, что покупатель сообщил данные магазину, не разрешает автоматически использовать их для рекламы.
3. Нужно отдельно выяснить основание передачи партнёрам и содержание согласия, если оно требуется. В частности, проверяем, указаны ли рекламная цель и передача данных третьим лицам.

Ответ. Использование сведений для доставки связано с исполнением заказа. Передача партнёрам для рекламы требует самостоятельного законного основания; согласие на обслуживание не следует считать согласием на рекламное использование.

Задача 3. Человек обнаружил, что организация хранит устаревший адрес и продолжает использовать его после отзыва согласия. Нужно определить возможные требования и обстоятельства, которые следует выяснить.

1. Сначала нужно установить, действительно ли адрес неточен, и обратиться к оператору с требованием проверить и уточнить его. Это требование касается качества сведений, а не обязательно прекращения всей обработки.
2. Затем выясняем, на каком основании организация использует адрес после отзыва согласия. Если другого законного основания нет, можно требовать прекратить обработку, основанную на согласии.
3. Отдельно проверяем, достигнута ли цель хранения и обязан ли оператор сохранять данные по закону или договору. От этого зависит, можно ли требовать удаления или уничтожения сведений немедленно.

Ответ. Человек может потребовать уточнить адрес и выяснить основание дальнейшего использования. Требование прекратить обработку или удалить данные зависит от того, есть ли у организации иное законное основание для их хранения и обработки.

Типичные ошибки

Ошибка: считать персональными данными только паспортные реквизиты. Так думают, потому что паспорт однозначно связан с человеком, а обычные сведения кажутся безобидными. Но идентифицировать человека может фотография, телефон или сочетание нескольких деталей. Проверьте себя: можно ли по этим сведениям или их совокупности понять, о ком идёт речь?

Ошибка: полагать, что согласие разрешает любые действия с данными. Согласие воспринимают как универсальное разрешение, хотя оно связано с конкретной целью и объёмом обработки. Кроме того, обработке всё равно нужны законные основание и цель. Проверьте, соответствует ли каждое действие тому, о чём человек был уведомлён и на что согласился.

Ошибка: считать, что согласие на одну цель разрешает дальнейшее использование или передачу. Например, покупатель сообщил адрес для доставки, но это не делает автоматической рекламную передачу партнёрам. Причина ошибки — смешение разных целей обработки. Для проверки отдельно назовите цель каждого действия и установите основание именно для неё.

Ошибка: ожидать, что отзыв согласия всегда означает немедленное удаление данных. Отзыв прекращает основанную на согласии обработку, но у оператора может быть другое предусмотренное законом основание хранить сведения. Поэтому требования об исправлении, прекращении обработки и удалении нужно различать. Проверьте, зачем данные хранятся и есть ли законное основание продолжать обработку.

Связь с другими темами

Для этой темы полезно знать, что такое информация и информационные системы, а также как защищают данные. Пригодится и различение права и обязанности: оно помогает понять, что может требовать человек и что должен обеспечить оператор. Законодательная защита персональных данных связана с информационной безопасностью, частной жизнью и ответственным поведением в интернете. Эти знания понадобятся при изучении кибербезопасности, цифровых сервисов и правовых аспектов работы с информацией.

Что запомнить

• Персональные данные — сведения, относящиеся к определённому или определяемому человеку.
• Сбор, хранение, использование и передача данных относятся к их обработке.
• Оператор отвечает за законность обработки и защиту данных.
• Цель обработки должна быть определена заранее и соответствовать правовому основанию.
• Согласие не разрешает использовать данные для целей, на которые человек не соглашался.
• Субъект вправе узнавать об обработке своих данных и требовать исправления неточных сведений.
• Права на прекращение обработки и удаление данных применяются с учётом оснований и условий, установленных законом.