Уголок гуру (Д. Заполь, "Консультант", N 3, февраль 2007 г.)

Уголок гуру

Беззащитность приватной информации привела к участившейся в последнее время утечке баз данных. В 2007 году аналитики прогнозируют новые кражи, по масштабу несопоставимые с предыдущими. Кто и какую ответственность будет нести за похищение? На этот вопрос ответил эксперт журнала "Консультант".

Обязательства по обеспечению сохранности персональных данных, установленные Законом РФ от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Закон), и, как следствие, ответственность за их несоблюдение, в том числе за хищение, преимущественно налагаются на операторов. Это лица, помимо прочего организующие или осуществляющие обработку персональных данных, включающую в себя сбор, хранение, использование и распространение персональных данных. Понятие "оператор" достаточно широко и, помимо физических и юридических лиц, включает в себя государственные и муниципальные органы.

Как на операторов, так и на лиц, операторами не являющихся, статьей 7 Закона наложено ясно выраженное требование об обеспечении конфиденциальности персональных данных, к которым они получили доступ. В силу статьи 24 Закона несоблюдение положений, в ней прописанных, равно как и остальных положений Закона может повлечь за собой ответственность, предусмотренную законодательством РФ.

Нарушителя, т.е. лицо, похитившее или допустившее возможность хищения персональных данных, в настоящий момент возможно привлечь только к административной и уголовной ответственности. Статьей 13.11 КоАП РФ была установлена административная ответственность за нарушение прописанного в Законе порядка сбора, хранения, использования или распространения персональной информации, а также ответственность за разглашение информации, доступ к которой ограничен Законом. В число форм уголовной ответственности входит предусмотренная статьей 137 УК РФ ответственность за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений, ужесточаемая при использовании лицом, его совершившим, своего служебного положения.

Таким образом, механизмы защиты нарушенных прав субъекта персональных данных, по крайней мере, предусмотрены. В то же время отсутствие в настоящий момент уполномоченного органа по защите прав субъектов персональных данных и низкий размер штрафа, предусмотренного КоАПом (максимальный размер штрафа, налагаемого на юридическое лицо - нарушителя, не превышает 10 000 рублей), безусловно, не оказывают должного воздействия, направленного на предотвращение нарушений. В особенности принимая во внимание высокий уровень дохода, извлекаемый из указанной противоправной деятельности. Практически полное отсутствие правоприменительной практики в отношении рассматриваемых статей также может косвенно свидетельствовать об их низкой эффективности.

Лицо, чьи права на неприкосновенность персональной информации могли быть нарушены, наиболее заинтересовано в возложении на нарушителя гражданско-правовой ответственности. В статье 15 ГК РФ предусмотрено, что лицо, права которого нарушены, может требовать полного возмещения причиненных ему убытков, если законом или договором не предусмотрено их возмещение в меньшем размере. Предоставление убедительных доказательств размера причиненных убытков, однако, может быть достаточно затруднительным.

Д. Заполь,

юрист коллегии адвокатов г. Москвы

"Барщевский и партнеры"

"Консультант", N 3, февраль 2007 г.