Правила работы с персональными данными в РФ регулируются, прежде всего, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Кто является оператором персональных данных? Согласно п. 2 ст. 3 Закона № 152-ФЗ, оператором может быть государственный, муниципальный орган, юридическое или физическое лицо, которое организует и/или осуществляет обработку персональных данных и определяет её цели и содержание.

2. Конфиденциальность персональных данных. Операторы и иные лица, получившие доступ к персональным данным, обязаны сохранять их конфиденциальность и не раскрывать третьим лицам без согласия субъекта, за исключением случаев, предусмотренных федеральным законом (ст. 7 Закона № 152-ФЗ).

3. Согласие субъекта на обработку данных. В общем случае обработка персональных данных требует согласия субъекта. Однако закон предусматривает ряд исключений (п. 2–11 ч. 1 ст. 6 Закона № 152-ФЗ), например, при обработке данных в целях транспортной безопасности. При этом получение согласия по телефону или СМС не предусмотрено законодательством; в интернет-магазинах согласие может подтверждаться электронной подписью или акцептом оферты.

4. Обработка особых категорий данных. Обработка персональных данных о судимости разрешена только государственным и муниципальным органам в рамках их полномочий, а также иным лицам — в порядке, установленном федеральными законами (ч. 3 ст. 10 Закона № 152-ФЗ).

5. Локализация данных. Согласно ст. 18.1 Закона № 152-ФЗ, операторы обязаны обрабатывать персональные данные граждан РФ с использованием баз данных, расположенных на территории РФ, за исключением случаев, указанных в законе.

6. Трансграничная передача данных. Перед передачей персональных данных за границу оператор должен удостовериться, что иностранное государство обеспечивает адекватную защиту прав субъектов данных.

7. Ответственность за нарушения. За нарушения требований Закона № 152-ФЗ предусмотрена ответственность:

8. административная (например, по ст. 5.39, 13.11, 13.14, 19.7 КоАП РФ);
9. уголовная (например, по ст. 137, 272 УК РФ);

10. дисциплинарная и иная.

11. Информационная система персональных данных. Согласно п. 9 ст. 3 Закона № 152-ФЗ, информационная система персональных данных включает базу данных с персональными данными, а также технологии и средства для их обработки (с автоматизацией или без).

Итоговый ответ

При работе с персональными данными оператор обязан:
* получать согласие субъекта на обработку его данных (с учётом исключений, предусмотренных законом);
* обеспечивать конфиденциальность персональных данных;
* обрабатывать данные граждан РФ с использованием баз данных на территории РФ (за исключениями, установленными законом);
* проверять адекватность защиты данных при трансграничной передаче;
* соблюдать требования к информационной системе персональных данных.

За нарушения предусмотрены административная, уголовная, дисциплинарная и иные виды ответственности.

Ссылки

• п. 2 ст. 3 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
• ст. 7 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
• п. 2–11 ч. 1 ст. 6 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
• ч. 3 ст. 10 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
• ст. 24 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
• ст. 5.39 Кодекса РФ об административных правонарушениях;
• ст. 13.11 Кодекса РФ об административных правонарушениях;
• ст. 13.14 Кодекса РФ об административных правонарушениях;
• ст. 19.7 Кодекса РФ об административных правонарушениях;
• ст. 137 Уголовного кодекса РФ;
• ст. 272 Уголовного кодекса РФ;
• п. 9 ст. 3 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
• ст. 18.1 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».