Обработка персональных данных – это любое действие (операция) с персональными данными или их совокупность, совершаемые с использованием или без использования средств автоматизации, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение персональных данных.
Общие принципы обработки персональных данных, содержатся в статье 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Среди них ограничение таких действий достижением конкретных, заранее определенных и законных целей. Кроме того не допускается обработка, несовместимая с целями сбора персональных данных.
Хранение персональных данных не должно длиться дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
Взаимоотношения работников с работодателями в части обработки персональных данных урегулированы главой 14 Трудового кодекса Российской Федерации. Работники имеют право на полную информацию о своих персональных данных, в том числе об их обработке.
Порядок хранения и использования персональных данных работников в организации должен осуществляться на основании разработанного работодателем локального нормативного акта – Положения о персональных данных работников.
Работодатель при нарушении правил хранения, обработки персональных данных несет ответственность в соответствии с Кодексом Российской Федерации об административных правонарушениях (далее – КоАП РФ). В частности, обработка персональных данных без письменного согласия работника (когда оно необходимо), если эти действия не содержат уголовно наказуемых деяний (часть 2 статьи 13.11 КоАП РФ), влечет наложение штрафа на граждан – от 6 до 10 тыс. руб., должностных лиц – от 20 до 40 тыс. руб., юридических лиц – от 30 до 150 тыс. руб.
При допущении повторных нарушений предусмотрены штрафы в повышенном размере.
Специальной нормы об ответственности за нарушение законодательства о персональных данных в Уголовном кодексе Российской Федерации (далее – УК РФ) нет. Несмотря на это, действия лица, нарушившего правила работы с персональными данными, могут содержать признаки уголовно наказуемых деяний.
Например, уголовная ответственность установлена за незаконные сбор или распространение сведений о частной жизни лица, составляющих его личную и семейную тайну, без его согласия (часть 1 статьи 137 УК РФ), неправомерный доступ к компьютерной информации, в результате которого произошло уничтожение, блокирование, модификация (изменение) или копирование информации (часть 1 статьи 272 УК РФ), неправомерный отказ должностного лица в представлении гражданину документов и материалов, собранных в установленном порядке и непосредственно затрагивающих его права и свободы гражданина (статья 140 УК РФ).
