В Российской Федерации правовые основания для защиты персональных данных закреплены в Конституции, установившей положение о том, что сбор, хранение, использование и распространение информации о частной жизни человека без его согласия не допускаются (пункт 1 статьи 24).
Основным законом, регулирующим отношения в сфере персональных данных в соответствии с Конституцией РФ, является Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» действие которого распространяется на все государственные и муниципальные органы, юридические и физические лица, включая индивидуальных предпринимателей, которые осуществляют обработку персональных данных.
Статьей 18.1 Закона о персональных данных предусмотрено, что оператор обязан принимать меры по их защите, но при этом перечень таких мер он вправе определять самостоятельно. К ним, в частности, может быть отнесено назначение ответственного лица, издание внутренних документов по защите персональных данных, контроль их соблюдения, ознакомление работников с действующими нормативами в области защиты персональных данных и своими внутренними правилами.
Важно отметить, что для обработки персональных данных необходимо письменное согласие. Субъект принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Обязанность представить доказательства согласия субъекта персональных данных на их обработку возлагается на оператора (статья 9 Закона о персональных данных). Такое согласие должно быть прямо выражено.
Кроме того за не соблюдение требований законодательства о персональных данных предусмотрена ответственность.
Административная ответственность установлена:
- за нарушение правил обработки персональных данных;
- неисполнение обязанностей при взаимодействии с гражданином - субъектом персональных данных;
- невыполнение требований по защите персональных данных;
- неисполнение обязанностей при взаимодействии с Роскомнадзором.
К ответственности за нарушение могут одновременно привлечь и организацию, и виновное физическое лицо (часть 3 статьи 2.1 КоАП РФ).
Основной вид административного наказания за нарушение законодательства о персональных данных - штраф, размер которого зависит от конкретного нарушения. Максимально возможный - 75 000 рублей. Он предусмотрен для организации за обработку персональных данных без письменного согласия гражданина, когда такое согласие требуется, или за отсутствие в нем всех необходимых сведений (часть 2 статьи 13.11 КоАП РФ).
Кроме того, нарушение законодательства в области персональных данных может повлечь гражданско-правовую ответственность в форме компенсации морального вреда, возмещения убытков, взыскания неустойки, если она была предусмотрена договором (часть 2 статьи 24 Закона о персональных данных, статьи 151, 1101 Гражданского кодекса РФ).
Также возможна уголовная ответственность. Отдельной нормы об ответственности за нарушение Закона о персональных данных в Уголовном кодексе РФ не предусмотрено. Однако такая ответственность установлена:
- за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную и семейную тайну, без его согласия (часть 1 статьи 137 Уголовного кодекса РФ);
- неправомерный доступ к компьютерной информации, в результате которого произошло уничтожение, блокирование, модификация (изменение) или копирование информации (часть 1 статьи 272 Уголовного кодекса РФ);
- неправомерный отказ должностного лица в представлении гражданину документов и материалов, собранных в установленном порядке и непосредственно затрагивающих его права и свободы (статья 140 Уголовного кодекса РФ).
