Кто ответит за утечку персональных данных?
Сентябрь, 2008
Заочный круглый стол PC Week/RE о законе № 152-ФЗ “О персональных данных”: как он работает, в каких усовершенствованиях нуждается и кто должен отвечать за утечку персональных данных. Тезисы составлены из ответов Алексея Сабанова, заместителя генерального директора компании Aladdin Software Security R.D.
О правоприменительной практике:
-
“Лично я о таких случаях пока не слышал. Мера наказания всегда напрямую зависит от масштабов ущерба, но публично о понесённых потерях вследствие утечки ПД, насколько мне известно, до настоящего времени никто из отечественных операторов не заявлял. Однако это отнюдь не означает, что ситуация столь безоблачна”.
-
“Закон один для всех. Незнание закона не освобождает от ответственности. Заявительный характер процедуры занесения в реестр, конечно, предполагает некоторую свободу для нечестных манёвров: ты можешь не заявлять о себе, но это не значит, что в твоей информационной системе не обрабатываются персональные данные”.
О причинно-следственных связях:
- “Обладателем большинства самых обширных баз данных является государство. Понятно, что такие БД необходимо защищать. До недавнего времени ответ на вопрос “как именно?” повисал в воздухе: только сейчас ФСТЭК выпустила свой четырёхтомник, а ФСБ завершила работу над профильными документами”.
О том, кто должен продвигать институт защиты прав субъектов ПД:
-
“Это дело общественных организаций, ассоциаций, альянсов — именно они должны отстаивать права и свободы граждан и подвигать власть к тому, чтобы эти права и свободы защищались. Такая роль должна принадлежать независимой третьей стороне, которая выступит с инициативой по созданию вышеупомянутого института, добьётся его создания и инициирует от его имени соответствующие разбирательства”.
-
Степень ответственности должен устанавливать законодатель — через институт, занимающийся всем кругом вопросов, связанных с персональными данными.
Об ответственности оператора после согласия субъекта:
- “Согласно законодательству, если субъект ПД собственноручной подписью разрешает использовать свои персональные данные оператору, то далее вопрос о том, как ими распорядиться, полностью лежит на совести этого оператора. Фактически нигде не прописано, что компания, допустившая утечку, обязана уведомлять об этом субъектов ПД”.
О моральном ущербе:
- “Чётких норм и критериев оценки, по которым рассчитывается сумма морального ущерба, нет. О практике ведения таких дел с позиции закона “О персональных данных” слышать не доводилось. Наиболее разумным представляется подробное, детализированное слушание по каждому делу с фиксацией последствий, в основе которых лежит утечка персональных данных”.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: PC Week/RE, №36 (642), сентябрь 2008
В составе экспертов: Алексей Сабанов (Аладдин).