Разработка требований по обеспечению безопасности персональных данных в информационных системах

При рассмотрении персональных данных как объекта информационных отношений можно утверждать, что не все персональные данные являются конфиденциальными. Многочисленные энциклопедии персоналий, профессиональные персональные справочники, адресные книги - это персональные данные, которые обнародуются по согласию субъекта, так же персональные данные могут охраняться различными режимами ограниченного доступа. Например, в режиме государственной тайны охраняются персональные данные ряда лиц, имеющих доступ к государственным секретам [23]. В режиме коммерческой тайны могут охраняться персональные данные авторов ноу-хау, используемых в производстве. В режиме профессиональной тайны охраняется информация персонального характера, характеризующая пользователей предоставляемых услуг (врачебная тайна, нотариальная, адвокатская, банковская, тайна усыновления). В режиме личной тайны - сведения об особенностях личности, ее пристрастиях, привычках, интересах. В режиме семейной тайны - сведения о взаимоотношениях членов семьи, в том числе родственных.

Таким образом, персональные данные - это вид сведений, непосредственно связанных с личностью, а не режим конфиденциальности этих сведений. Законодательное регулирование сбора и использования персональных данных обусловлено защитой неприкосновенности частной жизни как базового конституционного принципа, однако особый механизм правового регулирования сбора, использования, распространения персональных данных возник, как указывалось выше, в связи с повсеместным созданием в органах власти и организациях автоматизированных баз персональных данных.

Законодательства многих стран, прежде всего, конституции, содержат принципы защиты неприкосновенности частной жизни, защиты личной тайны, «privecy», запрет на сбор информации о человеке без его согласия.

Первоначально к проблеме защиты персональных данных на международном уровне обратилась Организация по экономическому сотрудничеству и развитию (ОЭСР), принявшая в 1980 г. основные положения о защите неприкосновенности частной жизни и международных обменов персональными данными, в которых были зафиксированы основные принципы работы с персональными данными. Эти принципы получили развитие и конкретизацию в Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных» [6], которая стала объединяющим началом для соответствующего национального законодательства. Затем система защиты персональных данных развивалась в Директиве Европейского Союза и Парламента 95/46/ЕС от 24 октября 1995 г. [2] и Директиве 97/66/ЕС от 15.12.97 [3].

В 2001 г. Советом Европы был принят Дополнительный протокол к Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных [22], определяющий статус наблюдательного органа, обеспечивающего защиту прав и фундаментальных свобод человека в отношении его персональных данных.

В развитых индустриальных странах за последние двадцать лет было разработано законодательство по вопросам защиты персональных данных - приняты национальные нормативные специализированные акты, причем некоторые из них доработаны и изменены в связи с развитием телекоммуникаций. Рассмотрим наиболее разработанные.

1.1.1 Практика правового регулирования защиты персональных данных в зарубежных странах

В Европе лидером в сфере правового регулирования персональных данных является Германия. Первый в Германии закон о защите персональных данных был принят в земле Гессен в 1970 году [25]. До этого подобных законов нигде в мире не было. За ним последовало принятие в 1977 году Федерального закона о защите персональных данных, который в 1990 году был пересмотрен. Главная цель этого закона - «защищать индивидуума от посягательств на неприкосновенность его частной жизни (PersЪnlichkeitsrecht) путем манипулирования его персональными данными» [25]. Действие закона распространяется на сбор, обработку и использование персональных данных, собираемых государственными федеральными органами (в отсутствие механизмов государственного регулирования) и негосударственными учреждениями, если они обрабатывают и используют персональные данные в коммерческих или профессиональных целях. В 2006 году Берлинский комиссар по защите персональных данных достиг соглашения с Citibank об использовании RailwayCards в том же качестве, в котором используются кредитные карты Visa.

Сравнительно недавно был принят ряд законов, касающихся неприкосновенности коммуникационных обменов. Принятое в 1996 году Постановление о защите персональных данных, передаваемых по телекоммуникационным каналам [29], охраняет неприкосновенность соответствующей информации. Закон об информационных и коммуникационных (мультимедиа) услугах [29] устанавливает механизмы защиты информации, передаваемой по компьютерным сетям. Этим же законом определяются требования, предъявляемые к цифровым подписям.

Соединенное Королевство не имеет собственного текста конституции. В 1998 году британский парламент утвердил Акт о правах человека, который вступил в силу в октябре 2000 года [29].

В июле 1998 года парламент принял Закон о защите информации [29], приводящий аналогичный закон 1984 года в соответствие с требованиями Директивы о защите информации, принятой Европейским Союзом. Положения о защите персональных данных содержатся и в ряде других законодательных актов [29].

Как и Германия, Соединенное Королевство является членом Совета Европы, подписавшим и ратифицировавшим Кроме того, Великобритания входит в Организацию по экономическому сотрудничеству и развитию; она приняла Директиву ОЭСР о защите неприкосновенности частной жизни и международных обменов персональными данными.

Развитие законодательства о неприкосновенности частной жизни в США было в основном сосредоточено на информации, которую хранили государственные органы, а также некоторой информации, используемой частными компаниями. Суд также признал право на анонимность и право политических организаций не раскрывать имена своих членов государственным органам.

Рассматривая проблему защиты персональных данных в США, интерес вызывает Code of Fair Information Practice [25], выпущенный в 1973 году Государственным Департаментом Здоровья и Образования США, принципы которого были распространены на все системы обработки персональных данных:

не должно существовать секретных баз с персональными данными;

должны быть определены механизмы, которые позволили бы отдельным гражданам проверить, какая информация личного характера находится в соответствующих базах данных и как она используется;

должны быть определены методы, позволяющие отдельным гражданам предотвратить использование информации, собранной в базах персональных данных для одних целей в других целях без их согласия;

должны быть разработаны процедуры, позволяющие индивидуумам скорректировать или отменить информацию о себе в базах с персональными данными;

организации, создающие, хранящие или передающие третьей стороне идентифицируемые персональные данные, должны обеспечить и быть уверенными в том, что эти данные используются только для определенных целей и должны принять меры предосторожности для предотвращения злоумышленного их использования.

Впоследствии данные принципы легли в основу Акта о защите личной жизни США 1974 года [25], который предусматривает обязанность каждого учреждения, занимающегося ведением системы данных, по любому запросу любого физического лица предоставлять ему доступ к данным о нем, содержащимся в системе, разрешать ему, и по его просьбе, выбранному им самим сопровождающему лиц изучать данные и получать копии всех данных или любой их части в доступной его пониманию форме, а также разрешать физическому лицу обращаться с просьбами об изменении данных о нем. Более того, согласно принятому в США Electronic Communications Privacy Act [25] за незаконный перехват или доступ к электронной почте предусмотрена уголовная ответственность в виде тюремного заключения до одного года или штрафа до 10 000 долларов.

США не имеют закона, обеспечивающего всестороннюю защиту неприкосновенности частной жизни. Закон о неприкосновенности частной жизни, принятый в 1974 году, охраняет учетные записи американских государственных ведомств и обязывает эти ведомства придерживаться практики обменов правдивой и объективной информацией. В США нет ведомства, осуществляющего надзор за неприкосновенностью частной жизни.

В Японии Закон «О защите хранящихся в административных органах и обрабатываемых компьютером персональных данных» регулирует использование персональной информации в компьютеризированных архивах государственных структур. Сфера действия закона охватывает все данные, находящиеся в распоряжении в общественном секторе. Кроме того, некоторые местные администрации имеют аналогичные законы. Например, в префектуре Канагава есть закон о защите приватности как в государственном, так и в частном секторах [27]. Федеральный закон основан на Руководящих принципах Организации по экономическому сотрудничеству и развитию и предписывает обеспечение безопасности, доступа и исправления данных. В Японии сравнительно недавно был принят Закон «О защите персональных данных» [27], который призван регулировать использование персональной информации, как в государственном, так и в частном секторе. Закон предписывает, чтобы как частные, так и государственные структуры соблюдали пять принципов:

ясно указывать цель сбора данных и не выходить за рамки этой цели;

собирать персональную информацию законными средствами;

обеспечивать точность и свежесть информации;

защищать безопасность персональных данных;

обеспечивать прозрачность сбора и использования информации.

Кроме того, закон однозначно предписывает частным коммерческим структурам сообщать о сборе персональных данных лицам, о которых эти данные собираются, а также о целях такого сбора. Он также запрещает компаниям передавать персональную информацию третьим лицам [27].

Прослушивание коммуникаций традиционно считается нарушением конституционного права на неприкосновенность частной жизни. В августе 1999 года парламент принял вызвавший много споров Закон о перехвате коммуникаций, который разрешает прослушивание телефонов и перехват факсовых сообщений и электронной почты при проведении расследований по делам о наркотиках, о нарушении законов об огнестрельном оружии, об убийствах, совершенных преступными группировками, а также о ввозе в страну нелегальных иммигрантов в крупных размерах [27]. По новому Закону, который вступил в силу в августе 2000 года, прослушивание могут осуществлять только следователи прокуратуры и старшие офицеры полиции, и для этого требуется ордер судьи районного суда. Ордер выдается сроком на 10 дней и может быть продлен на общий срок не более 30 дней. Япония принимала участие в качестве наблюдателя в переговорах по Конвенции Совета Европы о киберпреступности и подписала Конвенцию в 2001 году.

Во Франции, Швеции, Венгрии, действуют законы, обеспечивающие защиту основных прав и свобод гражданина, в частности его чести и достоинства и права на неприкосновенность частной жизни при обработке персональных данных [29].

Лицензия содержит обязательство, что обработка данных будет соответствовать требованиям закона. Немедленно по получении уведомления Комиссии о выдачи лицензии держатель массива может начать обработку данных, не освобождаясь при этом от ответственности.

Во Франции предусмотрены штрафы за разглашение персональных данных. Так, например, при использовании данных Национального реестра идентификации физических лиц без лицензии грозит наказание пятью годами тюремного заключения и штрафом в размере 2 000 000 франков [29].

В Швеции действует Комиссия по проверке данных, которая выдает лицензию на создание и ведение файлов персональных данных. Комиссия осуществляет надзорные функции для того, чтобы автоматическая обработка персональных данных не влекла за собой вмешательство в частную жизнь человека. Разрешения не требуется в тех случаях, когда персональные данные предназначены для целей автоматической обработки в государствах, которые присоединились к Конвенции Совета Европы о защите частных лиц в связи с автоматической обработкой персональных данных [5].

В Швеции, как и во Франции, предусмотрены наказания и штрафы за разглашение персональных данных [29]. Так, например, наказание в виде штрафа или тюремного заключения на срок до одного года назначается за следующие правонарушения, совершенные умышленно или по халатности:

создание или ведение файлов персональных данных без лицензии или разрешения, если оно требуется в соответствии с законодательством Швеции;

несоблюдение какого-либо правила или запрета, установленного в соответствии законодательством Швеции;

раскрытие персональных при использовании для целей автоматической обработки данных;

если персональные данные изымаются из файла в то время, когда они нужны для целей файла;

предоставление ложной информации по запросу того или иного субъекта персональных данных;

предоставление ложной информации об автоматической обработке данных, запрашиваемой Комиссией в рамках ее надзорных;

несоблюдение регламента принятия детальных положений, касающихся файлов персональных данных, часто используемых в той или иной области с какой-либо конкретной целью.

Лицо, которое без разрешения получает доступ к данным, подвергающимся автоматической обработке, изменяет, изымает или включает такие данные в тот или иной файл, подлежит наказанию в виде штрафа или тюремного заключения на срок до двух лет за несанкционированный доступ к данным.

В Венгрии в целях обеспечения конституционного права на защиту персональных данных и доступа к данным, представляющим общественный интерес, парламент избирает Комиссара по защите персональных данных [29]. Кандидатами являются граждане Венгрии, имеющие университетское образование, не привлекавшиеся к уголовной ответственности, обладающие глубокими знаниями, теоретической подготовкой или не менее чем 10-летним опытом профессиональной практики, солидным опытом ведения судебных дел по вопросам защиты, надзора или теоретических исследований.

Как и в Швеции, в Венгрии предоставлением информации о целях, юридических основаниях и периоде использования персональных данных по требованию заинтересованного лица занимается распорядитель данных. Он обязан предоставить указанную информацию в как можно более сжатые сроки, но не позднее 30 дней с момента получения соответствующей заявки.

Подводя итог анализа защиты персональных данных за рубежом, можно сделать вывод о том, что в настоящее время в мире существуют две традиции защиты персональных данных: так называемые американская и европейская модели.

Национального «всеобъемлющего» закона о защите персональных данных в Соединенных Штатах нет. Европейская модель предусматривает наличие национального законодательства о защите частной жизни и/или персональных данных («общего» закона о приватности) и специального государственного надзорного органа.

Рост числа сборщиков персональных данных является ответом на требования современного общества, где потребность в этих данных со стороны самых разных субъектов растет изо дня в день. Причем это обстоятельство актуально сегодня для многих стран, не только для России. В частности, в США не так давно поднимался вопрос о возможностях для ФБР перехватывать и отслеживать электронную почту частных лиц, а в Великобритании - о фиксировании компаниями, ведущими бизнес с использованием Интернет, деятельности их клиентов с тем, чтобы при необходимости эти данные могли быть предоставлены госорганам.

Самые громкие «информационные» дела, история которых началась в середине 1990-х, связаны с базами данных телефонных систем. Начало им положило появление на рынке первых компакт-дисков с телефонными базами МГТС и списков абонентов сети «Билайн» в 95-96 годах [25].

Абонентская сеть МТС, абонентами которой являются более 5 миллионов человек, в 2002-2003 гг. пережила два «черных» издания. При этом появление информации о продаже данных в течение нескольких недель сопровождалось дублированием через Интернет. База данных, содержащая ФИО, дату рождения, паспортные данные, место жительства ИНН, юридический адрес, контактный телефон, прошедшие платежи абонентов, стоила 450 рублей. Начав собственное расследование, МТС опровергли сообщения о том, что утечка данных произошла в силовых структурах, которым предоставлялись данные об абонентах. О результатах расследования не сообщалось.

Тогда же, в 2003 г. произошла самая масштабная, по оценкам экспертов, утечка конфиденциальной информации об абонентах всех крупнейших телефонных компаний Санкт-Петербурга. За 1650 рублей можно было приобрести личные данные миллионов петербуржцев - адреса, номера паспортов, сотовых и домашних телефонов. От утечки информации пострадали Северо-Западный филиал ОАО «МегаФон», «Телеком XXI», «Дельта Телеком», FORA Communications, «Северо-Западный Телеком», «Петерстар». Компании заявили, что информация была украдена централизовано через правоохранительную структуру.

Год спустя в Интернет была обнаружена информация об абонентах «Билайна», «МегаФона» и МТС в Москве и Санкт-Петербурге. Организаторы этого Интернет-«проекта», в том числе сотрудники «Вымпелкома», были задержаны, о приговоре не сообщалось.

Попадают на рынок и базы данных государственных органов, в отношении которых можно было бы ожидать повышенных мер защиты. Так, в 2002 г. в продаже появились диски с данными переписи населения. Госкомстат опроверг сведения об утечке информации, и расследования проведено не было. Однако косвенным подтверждением факта утечки, судя по сообщениям в СМИ, были рассылки персональных предвыборных сообщений, которые приходили гражданам на те адреса, по которым они случайно находились в момент переписи.

В 2004 г. появилось сообщение о продаже части базы данных Пенсионного фонда РФ, содержащей информацию о месте жительстве и доходах 3 миллионов жителей Москвы. Результаты проведенного внутреннего расследования не были сообщены.

В 2005 г. на «черный» рынок вышла база данных о банковских операциях Банка России, в том числе продаже с аукциона «Юганскнефтегаза». Представители Банка по результатам расследования заявили о перекрытии канала утечки информации, однако источник утечки назван не был.

Последний громкий скандал в информационной сфере связан с появлением в продаже базы данных «НИКойла», содержащей реестры акционеров нескольких сотен российский компаний, а том числе паспортные данные акционеров и число принадлежащих им акций. Крупнейшими клиентами регистратора «НИКойл» являются ОАО НК ЛУКОЙЛ, ОСО «Новороссийский морской торговый порт», ОАО «Мобильные телесистемы», ЗАО «Скайлинк», ОАО «Домостроительный комбинат №1» [25].

Кроме того, проблема защиты персональных данных связана со степенью развитости институтов гражданского общества. К сожалению, в России низкий уровень развития подобных институтов, низкая правовая культура граждан, даже в определенной степени правовой нигилизм, а также недостаточный уровень активности граждан и большая степень закрытости власти. Именно поэтому вопросы защиты персональных данных, как впрочем, и многие другие, обсуждаются и прорабатываются сравнительно небольшой группой специалистов и правозащитных организаций, при этом сами граждане либо не считают эти вопросы значимыми, либо, чаще всего, просто не знают о наличии своих прав, их нарушениях и о том, как можно их защитить. При этом ущерб при неправомерном доступе и распространении информации о персональных данных наносится, в первую очередь, интересам самих граждан. Таким образом, наряду с правовыми и организационно-техническими мероприятиями, необходимо повышать степень открытости власти и уровень информированности граждан о своих правах, законных интересах и о методах их защиты.

1.1.2 Обзор нормативно-правовых актов регламентирующих защиту ПД

На сегодняшний день в России существует ряд нормативных актов регламентирующих вопросы защиты персональных данных не только в области личных и семейных взаимоотношений, но и в сфере отношений, касающихся персональных данных работника [9, 12, 13,]. В отличие от США и Евросоюза, в России долгое время не было законодательных актов, которые бы защищали приватные сведения граждан и накладывали бы хоть какую-нибудь ответственность на организации и физических лиц за то, что те скомпрометировали чужую информацию. Однако 27 июля 2006 года Президент РФ подписал Федеральных закон «О персональных данных» [13], который фактически меняет правовой ландшафт в области защиты персональных сведений и значительно приближает Россию к странам запада.

В Федеральном законе под персональными данными понимается «любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных)» [13] . В качестве примера таких данных закон приводит ФИО, дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы и другую информацию. Одним из наиболее важных понятий в законе является понятие «оператор персональных данных» [13], под которым понимается государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных. Понятие оператора приватных сведений включает любую реально существующую российскую организацию, так как в каждой структуре есть служащие и/или клиенты, чья личная информация находится на попечении организации. Немаловажным является и понятие «обработка персональных данных» - это практически любые действия (операции) с приватными записями. Прежде всего, следует обратить внимание на ст.5 ч.2.: «хранение [приватных сведений] должно осуществляться не дольше, чем этого требуют цели их обработки», а «по достижении целей обработки или утраты необходимости в их достижении» персональная информация «подлежит уничтожению» [13]. Срок, в течение которого уже ставшие ненужными персональные данные должны быть уничтожены, устанавливается ст.21 ч.4 длиной в три рабочих дня.

Закон устанавливает требование: операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных. Исключений из этого требования всего два: если сведения являются обезличенными или общедоступными, то защищать их не обязательно. Правда, особое внимание представители бизнеса должны уделить требованиям - «Меры по обеспечению безопасности персональных данных при их обработке» [13]. Согласно ст.19 ч.1, оператор «обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных» целого ряда угроз [13]. Среди них закон выделяет «неправомерный или случайный доступ, уничтожение, изменение, блокирование, копирование, распространение, а также иные неправомерные действия». Более того, согласно ст.19 ч.2, Правительство РФ должно установить требования «к обеспечению безопасности [персональных данных] при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных». Контроль над выполнением этих требований, согласно ст.19 ч.3, возложен на «федеральный орган исполнительный власти, уполномоченной в области противодействия техническим разведкам и технической защите информации» [13].

Наконец, ст.19 ч.4 разрешает «использовать и хранить биометрические персональные данные вне информационных систем персональных данных … только на таких материальных носителях информации и с применением такой технологии хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения».

Трудности у организаций, осуществляющих обработку персональных данных своих клиентов, могут вызвать требования ч.3 ст.22, согласно которым компания должна направить в уполномоченный орган уведомление об этом факте. Напомним, что закон вступил в силу с февраля 2007 года, но уведомление организация должна направить до 1 января 2008 года. В этом уведомлении помимо всего прочего следует указать меры, принимаемые для обеспечения безопасности приватных данных. Ряд исключений предусмотрен ч.2 ст.22 (например, если компания имеет только приватные данные своих сотрудников, то уведомление направлять не следует).

Ответственность за нарушение правил работы с персональными данными. Статья 90 ТК РФ [9] предусматривает ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных работника. Нарушитель может нести дисциплинарную, административную, гражданско-правовую и уголовную ответственность.

Уголовная ответственность. Статья 137 УК РФ [10] предусматривает наказание за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную и семейную тайну. Уголовная ответственность грозит в том случае, если эти действия совершены намеренно, из корыстной или иной личной заинтересованности и повлекли за собой нарушение законных прав и свобод граждан. Причем наказание ужесточается, если виновный использовал свое служебное положение.

Личную или семейную тайну составляют сведения, не подлежащие, по мнению лица, которого они касаются, оглашению. Личную и семейную тайну не могут составлять сведения, которые были ранее опубликованы либо оглашены иным способом.

Нарушение неприкосновенности частной жизни может выражаться в:

незаконном собирании сведений о частной жизни;

незаконном их распространении;

незаконном их распространении в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации.

Закон не связывает ответственность за незаконное распространение сведений о частной жизни лица с конкретным способом распространения. Под распространением имеется в виду любая незаконная передача указанных сведений третьим лицам. Незаконным распространением является разглашение личной или семейной тайны лицом, обязанным ее хранить в силу своей профессии.

Обязательным элементом объективной стороны преступления является причинение вреда правам и законным интересам граждан. Характер вреда закон не ограничивает. Он может быть:

материальным (имущественным), например, потеря хорошо оплачиваемой работы, срыв выгодной сделки, иные убытки в предпринимательской деятельности;

физическим (телесным), например, заболевание от пережитого;

моральным, например, распад семьи, подрыв репутации.

Нарушение неприкосновенности частной жизни считается оконченным преступлением только с момента причинения соответствующего вреда (материальный состав).

Субъективная сторона данного преступления характеризуется прямым умыслом. Обязательным элементом субъективной стороны является мотив: корыстная или иная личная заинтересованность. Корыстная заинтересованность выражается в стремлении приобрести материальную (имущественную) выгоду за счет потерпевшего или в виде вознаграждения от третьей стороны. Иная личная заинтересованность может заключаться в стремлении дискредитировать конкурента, сделать карьеру, отомстить за что-либо, продемонстрировать свое превосходство либо привлечь внимание к себе.

Ответственность по ч. 1 ст. 137 УК [10] несет любое физическое вменяемое лицо, достигшее 16 лет (общий субъект), а по ч. 2 ст. 137 УК - должностное лицо либо служащий государственного или муниципального учреждения, использующий для совершения преступления свое служебное положение (специальный субъект).

Административная ответственность. Нарушение правил работы с персональными данными может повлечь административную ответственность работодателя или его представителей. Кодекс РФ об административных правонарушениях содержит на этот счет две статьи.

Статья 13.11 [4] предусматривает ответственность в виде предупреждения или наложения штрафа на работодателя в размере от 5 до 10 МРОТ за нарушение установленного порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). Этот порядок установлен главой 14 Трудового кодекса РФ [9] и локальными нормативными актами предприятия.

Защита персональных данных предусмотрена также статьей 13.14 КоАП РФ [4]. Если лицо, получившее доступ к информации персонального характера в связи с исполнением служебных или профессиональных обязанностей, разгласило сведения, составляющие персональные данные, то административный штраф для него будет составлять от 40 до 50 МРОТ.

Объектом правонарушения, предусмотренного данной статьей, является порядок получения информации с ограниченным доступом.

К административной ответственности работодателя или его представителей может привлечь Рострудинспекция или суд.

Дисциплинарная ответственность. В отношении сотрудника отдела кадров работодатель вправе применить одно из дисциплинарных взысканий, предусмотренных статьей 192 Трудового кодекса РФ: замечание, выговор, увольнение [9]. Более того, кодекс предусматривает специальное основание для расторжения трудового договора по инициативе работодателя, в случае разглашения охраняемой законом тайны, ставшей известной работнику в связи с исполнением им трудовых обязанностей (п.п. «в» п.6 ст.81).

Разглашение может быть совершено среди коллег, знакомых, родственников и других лиц, не имеющих законного доступа к ним. Кроме разглашения основными видами нарушений правил работы с персональными данными являются незаконное получение или использование сведений, составляющих персональные данные, и утрата материальных носителей, содержащих данную информацию.

Факт нарушения правил работы с персональными данными может быть установлен представителем работодателя (например, начальником отдела кадров), самим работником или специалистом Рострудинспекции.

Работники и их представители имеют право осуществлять контроль над выполнением требований по защите конфиденциальности этой категории информации, запрещать или приостанавливать обработку персональных данных в случае их невыполнения. Любые неправомерные действия (бездействие) работодателя при обработке и защите персональных данных работник вправе обжаловать в судебном порядке.

Рассмотренный незаконный оборот персональных данных в современной России, а также законодательство в области защиты персональных данных, позволяет сделать вывод о том, что в сравнении с зарубежными странами Россия немного отстает по вопросам защиты приватных сведений. Это связано не только отсутствовавшим долгое время законом о защите персональных данных, но и с отсутствием эффективного надзорного органа за соблюдением требований законодательства по вопросам защиты персональных данных.

1.2 Общий принцип построения систем защиты персональных данных