1. Законодательство Российской Федерации в области персональных данных основывается на Конституции Российской Федерации и международных договорах Российской Федерации и состоит из настоящего Федерального закона и других определяющих случаи и особенности обработки персональных данных федеральных законов.
2. На основании и во исполнение федеральных законов государственные органы, Банк России, органы местного самоуправления в пределах своих полномочий могут принимать нормативные правовые акты, нормативные акты, правовые акты (далее - нормативные правовые акты) по отдельным вопросам, касающимся обработки персональных данных. Такие акты не могут содержать положения, ограничивающие права субъектов персональных данных, устанавливающие не предусмотренные федеральными законами ограничения деятельности операторов или возлагающие на операторов не предусмотренные федеральными законами обязанности, и подлежат официальному опубликованию.
3. Особенности обработки персональных данных, осуществляемой без использования средств автоматизации, могут быть установлены федеральными законами и иными нормативными правовыми актами Российской Федерации с учетом положений настоящего Федерального закона.
3.1. Нормативные правовые акты, принимаемые в соответствии с частью 2 настоящей статьи, подлежат обязательному согласованию с уполномоченным органом по защите прав субъектов персональных данных в случаях, если указанные нормативные правовые акты регулируют отношения, связанные с осуществлением трансграничной передачи персональных данных, обработкой специальных категорий персональных данных, биометрических персональных данных, персональных данных несовершеннолетних, предоставлением, распространением персональных данных, полученных в результате обезличивания. Срок указанного согласования не может превышать тридцать дней с даты поступления соответствующего нормативного правового акта в уполномоченный орган по защите прав субъектов персональных данных.
4. Если международным договором Российской Федерации установлены иные правила, чем те, которые предусмотрены настоящим Федеральным законом, применяются правила международного договора.
5. Решения межгосударственных органов, принятые на основании положений международных договоров Российской Федерации в их истолковании, противоречащем Конституции Российской Федерации, не подлежат исполнению в Российской Федерации. Такое противоречие может быть установлено в порядке, определенном федеральным конституционным законом.
Комментарий к ст. 4 Закона о персональных данных
1. Комментируемая статья определяет состав основных нормативных актов, формирующих систему законодательства в области персональных данных, их структуру и содержание. Законодательство в области персональных данных складывается из отдельных норм Конституции РФ, международно-правовых положений, настоящего Федерального закона, иных федеральных законов, определяющих случаи и особенности обработки персональных данных, принимаемых на основании и во исполнение последних органами государственной власти в пределах их компетенции нормативных правовых актов по отдельным вопросам, касающимся обработки персональных данных.
Как видно из приведенного перечня, законодательство в области персональных данных представляет собой одноуровневую систему, складывающуюся исключительно из норм федерального законодательства. Подобная законодательная оговорка, обусловлена тем обстоятельством, что в соответствии с подп."в" п.1 ст.71 Конституции РФ регулирование прав и свобод человека и гражданина как одних из высших демократических ценностей отнесено к исключительному ведению РФ. Следует отметить, что субъекты РФ при этом правомочны регулировать рассматриваемую группу правоотношений в части касающейся конкретизации условий реализации и соблюдения прав. Принимаемые ими нормативные акты должны соответствовать установленным федеральными законами общим принципам и не могут придать им смысл, который означает по сути ограничение прав и свобод. Подобной позиции придерживается и Конституционный Суд РФ, который неоднократно в своих определениях отмечал, что Федерации принадлежит принципиальное первичное конституционно-правовое регулирование прав и свобод, установление их единых федеральных стандартов, способов, средств и порядка защиты.
2. Построение системы законодательства в области персональных данных обусловлено строгой иерархичностью и соподчинением. Правовую основу построения системы защиты персональных данных составляют положения Конституции РФ. В статьях 22 и 23 содержатся нормы, провозглашающие основные права личности, касающиеся частной жизни. В них закреплено право на неприкосновенность частной жизни, личную и семейную тайну. Запрещается сбор, хранение, использование и распространение информации о частной жизни лица без его согласия. На органы государственной власти возлагается обязанность обеспечить каждому возможность ознакомления с документами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.
Формируя законодательную основу обработки персональных данных, законодатель принимает за основу и нормы международного права, содержащие основные принципы работы с персональными данными в процессе их обработки. Первоначально указанные принципы нашли свое закрепление в Международной конвенции "Об охране личности в отношении автоматизированной обработки персональных данных" ЕТЗ N 108 (28 января 1981г.)[12], которая стала объединяющим началом для соответствующего национального законодательства. Затем система защиты персональных данных развивалась в Директиве Европейского Союза и Парламента 95/46/ЕС от 24 октября 1995г. о защите прав частных лиц применительно к обработке персональных данных и свободном движении таких данных и Директиве 97/66/ЕС от 15 декабря 1997г. по обработке персональных данных и защите конфиденциальности в телекоммуникационном секторе. Названные документы содержат перечень основных мер для охраны персональных данных, накопленных в автоматизированных базах данных, от случайного или несанкционированного разрушения или случайной утраты, а равно от несанкционированного доступа, изменения или распространения.
Вступление России в Совет Европы не обязывает ее приводить национальное законодательство в соответствие с директивами Совета Европы, в том числе включенными в настоящее издание. Однако очевидно, что равноправным членом Европейского Сообщества Россия сможет стать, только приняв правила игры, то есть сформированную Сообществом систему ценностей. Вместе с тем, придерживаясь конституционного принципа о включении общепризнанных принципов и норм международного права и международных договоров РФ в состав национальной правовой системы (ст.15 Конституции РФ), законодатель подчеркивает преимущественное положение последних в области правового регулирования обработки персональных данных, при условии если международным договором РФ установлены иные правила, чем предусмотренные законом.
3. Основополагающим нормативным актом в области обращения персональных данных выступает настоящий Закон. Все иные нормативные акты, принимаемые после его подписания, не должны ему противоречить, ранее действующие же - приведены в соответствии с ним. В случае возникновения противоречий приоритет должен отдаваться комментируемому Закону. Последний был принят Государственной Думой 8 июля 2006г., одобрен Советом Федерации 14 июля 2006г. и подписан Президентом РФ 27 июля 2006г. Текст Федерального закона опубликован в "Российской газете" от 29 июля 2006г. N 165. Согласно п.1 ст.25 настоящего Закона момент вступления последнего в законную силу определен истечением 180 дней с момента его официального опубликования.
Рассматриваемый документ представлен в виде 6 глав, включающих в себя 25 статей. В Законе определены принципы и условия обработки персональных данных. Устанавливая общий запрет на обработку персональных данных без согласия субъекта персональных данных, Закон предусматривает случаи, когда такое согласие не требуется. Отдельно регулируются отношения по обработке специальных категорий персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни). Обработка указанных категорий сведений не допускается без предварительного согласия субъекта персональных данных, за исключением случаев, когда персональные данные являются общедоступными, обработка данных необходима для обеспечения жизни и здоровья лица; обработка производится в связи с осуществлением правосудия, а также иных обстоятельств. Важнейшей гарантией прав субъекта персональных данных является обязанность операторов и третьих лиц, получивших доступ к персональным данным, обеспечивать их конфиденциальность (кроме случаев их обезличивания и общедоступных персональных данных), а также право субъекта персональных данных на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке. Контроль и надзор за обработкой персональных данных возложен на федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи, который наделяется соответствующими правами и обязанностями. В частности, уполномоченный орган вправе осуществлять проверку информационной системы обработки персональных данных, предъявлять требования по блокированию, удалению недостоверных или полученных незаконным путем персональных данных, устанавливать постоянный или временный запрет на обработку персональных данных, проводить расследования в порядке административного производства о нарушениях закона. Устанавливаются принципы трансграничной передачи данных, при которой должна обеспечиваться адекватная защита прав субъектов персональных данных. Операторы, осуществляющие обработку персональных данных до вступления в силу Закона, обязаны направить в уполномоченный орган по защите прав субъектов персональных данных соответствующее уведомление не позднее 1 января 2008 г.
4. В систему законодательства в области персональных данных помимо названных актов законодателем включены и иные законы.
Последние условно можно разделить на две самостоятельные группы:
1) принятые до настоящего Закона и приведенные в соответствие с ним;
2) принятые на основании и в исполнение положений последнего.
В первой группе можно выделить:
- Трудовой кодекс РФ, в главе 14 которого закреплены основополагающие требования по защите персональных данных работника. Прием работника по деловым качествам предполагает применение определенных приемов сбора сведений о работнике, с тем чтобы они достаточно полно выявили заранее установленный круг критериев, необходимых для занятия той или иной должности, т.е. работодатель фактически осуществляет сбор персональных данных работника;
- Таможенный кодекс РФ от 28 мая 2003г. N 61-ФЗ, регламентирующий процедуру обработки персональных данных лиц, осуществляющих деятельность, связанную с перемещением товаров и транспортных средств через таможенную границу либо осуществляющих деятельность в области таможенного дела, в целях проведения таможенного контроля и взимания таможенных платежей;
- Федеральный закон от 27 июля 2006г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" дает общее определение персональных данных, закладывает основные принципы правового регулирования деятельности, связанной с персональными данными. Здесь же вводится ответственность за нарушение их конфиденциальности, а также обязательность лицензирования для негосударственных организаций и частных лиц деятельности, связанной с обработкой и предоставлением персональных данных;
- Федеральный закон от 15 ноября 1997г. N 143-ФЗ "Об актах гражданского состояния" регламентирует процедуру защиты конфиденциальных сведений в процессе регистрации актов гражданского состояния.
Кроме того, вопросы правового регулирования работы с персональными данными затронуты в Федеральных законах от 22 октября 2004г. N 125-ФЗ "Об архивном деле в Российской Федерации", от 12 августа 1995г. N 144-ФЗ "Об оперативно-розыскной деятельности", от 12 июня 2002г. N 67-ФЗ "Об основных гарантиях избирательных прав и права на участие в референдуме граждан Российской Федерации", Налоговом кодексе РФ, Основах законодательства РФ об охране здоровья граждан от 22 июля 1993г. N 5487-1, Законах РФ от 21 июля 1993г. N 5485-1 "О государственной тайне", от 28 марта 1998г. N 53-ФЗ "О воинской обязанности и военной службе", Федеральных законах от 1 апреля 1996г. N 27-ФЗ "Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования", от 8 августа 2001г. N 129-ФЗ "О государственной регистрации юридических лиц и индивидуальных предпринимателей" и ряде иных. В Гражданском кодексе РФ статья 152 защищает честь, достоинство и деловую репутацию гражданина. В Уголовном кодексе РФ в ст.137 устанавливается уголовная ответственность "за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну".
Вторая группа только предстоит формированию.
5. Важная роль в организации работы с персональными данными принадлежит Президенту РФ, Правительству РФ, органам государственной власти и управления, нормативные правовые акты которых создают организационную основу применения соответствующих законодательных положений. Они формируют существо повседневного регулирования обработки и защиты персональных данных.
В числе основных здесь можно отметить:
- Приказ Минсельхоза РФ от 28 июля 2005г. N 134 "О защите персональных данных государственных гражданских служащих Минсельхоза России";
- Указ Президента РФ от 30 мая 2005г. N 609 "Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела";
- Приказ Федерального агентства правительственной связи и информации при Президенте РФ от 23 сентября 1999г. N 158 "Об утверждении Положения о порядке разработки, производства, реализации и использования средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну".
Комментируемой статьей законодатель определяет основные требования их легитимности. Во-первых, подзаконные нормативные правовые акты по отдельным вопросам, касающимся обработки персональных данных, не могут содержать положения, ограничивающие права субъектов персональных данных и тем самым противоречить требованиям настоящего Закона. Во-вторых, указанные нормативные правовые акты подлежат официальному опубликованию, за исключением нормативных правовых актов или отдельных положений таких нормативных правовых актов, содержащих сведения, доступ к которым ограничен федеральными законами. К числу последних относятся ведомственные приказы, распоряжения и инструкции, содержащие сведения, составляющие государственную, коммерческую или иную охраняемую законом тайну.
