Комментарий к Федеральному закону от 27 июля 2006г. N 152-ФЗ "О персональных данных" - [46]

На устранение имеющих место нарушений обработки персональных данных, равно как и на уничтожение последних, законодатель отводит три рабочих дня. Исчисление указанного срока начинается с момента выявления неправомерности действий с персональными данными или поступления в адрес оператора соответствующего запроса субъекта персональных данных или его законного представителя.

Законодатель обязывает оператора уведомлять уполномоченный орган по защите прав субъектов персональных данных обо всех действиях, проведенных в отношении персональных данных, явившихся следствием устранения выявленных нарушений в процессе обработки последних.

3. Комментируемая статья предусматривает случаи применения специальной обработки персональных данных в условиях законности и обоснованности действий с последними. К их числу относятся достижение заявленных оператором целей обработки персональных данных и отзыв субъекта персональных данных своего согласия на их обработку. Во многом последовательность действий и сроки их совершения в представленных случаях совпадают по своему содержанию с процедурой, применяемой при устранении недостатков, возникших как следствие неправомерных действий с персональными данными. Особенность оснований применения сформулированных пунктами 4 и 5 комментируемой статьи действий заключается в общей превенции деятельности оператора, имеющей своей целью предотвратить потенциальную угрозу нарушения действующего законодательства в случаях продолжения обработки персональных данных.

Статья 22. Уведомление об обработке персональных данных

Комментарий к статье 22

1. Процедура уведомления об обработке персональных данных по смыслу комментируемого Закона выступает одной из гарантий соблюдения прав и законных интересов субъектов персональных данных в процессе обработки, переданной ими конфиденциальной информации и является своеобразным механизмом контроля и надзора за деятельность оператора.

Комментируемая статья, определяя порядок уведомления, его форму и содержание, вместе с тем содержит далеко не полные основания и условия его осуществления. По смыслу буквального толкования п.1 комментируемой статьи уведомление об обработке персональных данных должно предшествовать началу деятельности оператора. Иными словами, оператор в момент его регистрации в установленном качестве, определения целей его деятельности, применяемых способов и методов обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своих намерениях.

Применение уведомительного порядка о начале деятельности во многом свойственное явление отечественной правовой системе и, как правило, не влечет каких-либо правовых последствий в отношении субъекта, его применяющего. Отчасти их наступление связано с самоустранением обязанного лица от выполнения требуемых действий. Применительно к тексту комментируемого Закона действия оператора будут расценены не иначе как неправомерное использование полученных им персональных данных и их незаконная обработка (см. ст.21 настоящего Закона и комментарий к ней).

Следует подчеркнуть, что в тексте рассматриваемой статьи законодатель допускает уведомительную процедуру лишь в случаях, предшествующих началу профессиональной деятельности оператора. Однако анализ всей совокупности представленных законодательных положений позволяет отметить, что уведомление об обработке персональных данных, как это сформулировано в заглавии настоящей статьи, должно иметь место в ряде случаев:

уточнение, блокирование или уничтожение персональных данных в порядке, оговоренном ст.21 настоящего Закона;

изменение сведений, обусловливающих законность деятельности оператора (см. п.7 комментируемой статьи);

достижение целей обработки персональных данных или отзыв субъектом персональных данных своего согласия на их обработку.

2. Законодатель допускает возможность оператора осуществлять обработку персональных данных без предварительного уведомления об этом уполномоченного органа по защите прав субъектов персональных данных. Сформулированный пунктом вторым комментируемой статьи перечень подобного рода случаев основывается на принципе внутреннего использования персональных данных, исключающем возможность их распространения за рамки правоотношений, существующих между оператором, осуществляющим их обработку, и субъектом, их передавшим. Исключение из названного принципа представляют собой случаи обработки персональных данных, отнесенных к разряду общедоступных сведений; обрабатываемых без использования средств автоматизации; включенных в состав федеральных автоматизированных информационных систем, созданных с целью защиты безопасности государства и общественного порядка или содержащих исключительно фамилию, имя и отчество лица.

Общим для всех представленных в статье ситуаций является минимизация возможной утраты обрабатываемых персональных данных либо неправомерного доступа к ним, способного повлечь негативные последствия для личности их обладателя.

3. Законодатель устанавливает жесткие требования относительно формы уведомления и способа его передачи. Уведомление должно быть составлено исключительно в письменной или электронной форме и подписано соответственно уполномоченным лицом или электронной цифровой подписью.