Закон о персональных данных может изменить принципы работы крупнейших интернет-ресурсов: сервисов электронной почты, знакомств, онлайн-магазинов и популярных социальных сетей, предупреждают юристы. Чиновники имеют возможность обязать интернет-компании брать письменное согласие на использование анкетных данных у каждого пользователя. Участники рынка надеются, что сайты не подпадут под действие закона.
С 2010 года принципы работы сервисов онлайн-знакомств, электронной почты и социальных сетей могут измениться из-за требований закона о персональных данных, предупреждают юристы, оценивающие последствия изменений законодательства для интернет-индустрии.
«Требования закона распространяются на всех юридических и физических лиц, и интернет-сфера не является исключением. Владельцам интернет-ресурсов для соблюдения всех предписаний закона о персональных данных необходимо тщательным образом продумывать организацию своей деятельности. В настоящее время существует немало web-ресурсов (интернет-магазины, социальные сети и т.д.), на которых происходит сбор, хранение, использование персональных данных. Соблюдение требований закона является непростой задачей для владельцев этих ресурсов», -- отмечает юрист Института развития свободы информации Дарья Назарова.
«Устанавливаемые технические требования по защите персональных данных выполнить крайне сложно, если вообще возможно», - соглашается директор по связям с общественностью Google Russia Алла Забровская.
«Google поддерживает консолидированное мнение представителей бизнеса из различных секторов, как иностранного, так и российского, о том, что новые требования к безопасности персональных данных крайне осложнят работу различных секторов экономики и социальной сферы. Полагаем, что технические меры по защите персональных данных должны определяться самими их операторами, и такая обязанность должна быть поддержана соответствующими нормами об ответственности за их неприменение или разглашение персональных данных», - говорит она.
Федеральный закон № 152 «О персональных данных» принят в июле 2006 года и вступил в силу с января 2007-го. По закону операторы персональных данных имеют время до 1 января 2010 года, чтобы привести свои информационные системы в соответствие с оговоренными в законе требованиями.
В третьей статье закона оператор персональных данных определяется как «государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных». В определение персональных данных включается «любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация». Персональные данные в этой форме, в частности, используются в социальных сетях и сервисах электронной почты.
По мнению Дарьи Назаровой, закон о персональных данных «не учитывает специфику работы в интернете». «Например, владельцам web-ресурсов весьма сложно соблюсти требование закона о получении согласия каждого пользователя на обработку его персональных данных. При этом закон возлагает именно на оператора обязанность доказывания факта получения им такого согласия», -- говорит она.
В «Яндексе» признают, что «практика применения закона выявила несовершенство некоторых его положений». В компании надеются, что недостатки закона удастся устранить внесением поправок. «Сейчас в Государственной думе находятся на рассмотрении два законопроекта, направленных на совершенствование норм закона. Мы активно участвуем в их разработке и предпринимаем все зависящие от нас шаги, чтобы интернет-реалии были учтены в новых поправках», -- говорит ведущий юрисконсульт «Яндекса» Ульяна Зинина.
«Яндекс» в соответствии с положениями закона выступает оператором персональных данных, подтверждают в компании. «Наша компания собирает и обрабатывает разные категории персональных данных -- своих сотрудников, своих контрагентов по договорам и некоторые данные пользователей своих сервисов. В соответствии с принципами закона «О персональных данных» мы собираем минимальное количество данных, необходимое для достижения конкретных целей», -- поясняет Ульяна Зинина.
Обработка персональных данных может производиться только с письменного согласия субъекта данных, указывается в девятой статье закона. В письменном согласии субъект указывает свои имя, фамилию, номер удостоверения личности и сроки действия согласия на использование своих данных. Для защиты персональных данных компании должны использовать шифровальные средства. Нормативы по мерам безопасности при обработке персональных данных вырабатывают Федеральная служба по техническому и экспортному контролю и Федеральная служба безопасности России.
«Те, кто профессионально занимается обработкой данных, просто должны выполнять правила игры, которые в этом законе обозначены», -- уверен руководитель юридической компании «Усков и партнеры» Вадим Усков. По его мнению, негативных последствий от вступления закона в силу участники рынка не испытают. «Просто есть правила игры, которые приняты во всем мире. К сожалению, персональными данными внимательно никто не занимался. То, что в интернете можно найти любого человека, это неправильно. Та ситуация, которая есть сейчас в интернете, она сама по себе может нести угрозу конституционной сохранности информации о гражданах», -- считает Вадим Усков.
Сейчас можно обнаружить много интернет-ресурсов, формально нарушающих требования закона, считает Дарья Назарова: «Например, некоторые интернет-магазины могут хранить в памяти своих систем данные покупателей, хотя по закону персональные данные могут храниться оператором не дольше, чем этого требуют цели их обработки, и по достижении этих целей персональные данные должны подлежать уничтожению».
Люди, размещающие информацию о себе в социальных сетях или службах знакомств, сознательно делают ее открытой для всех пользователей ресурса, и по закону ее можно трактовать как «общедоступную», а значит, соблюдения особого режима конфиденциальности в отношении ее не требуется, поясняет Дарья Назарова. Но в социальных сетях есть и информация, которую пользователь скрывает, делая ее доступной только для отдельной группы пользователей («друзей»). В этом случае интернет-ресурс должен предусматривать для нее специальные средства защиты.
«У нас юристы сделали оценку и считают, что мы не подпадаем под определение оператора персональных данных, поскольку у нас не указывается фамилия и имя и это не является необходимой информацией», -- рассказал генеральный директор службы знакомств «Мамба» Андрей Бронецкий. «В моем понимании никто насчет закона особо не переживает. У меня есть также ощущение, что надзорные органы сами еще не готовы начать его использовать», -- добавил Андрей Бронецкий.
«Большинство интернет-ресурсов под определение оператора персональных данных не подпадет», -- успокаивает советник руководителя Роскомнадзора Михаил Воробьев.
