SOBRE DADOS PESSOAIS
Adotado pela Duma do estado em 8 de julho de 2006, aprovado pelo Conselho da Federação em 14 de julho de 2006
leis federais de 25.11.2009 N 266-FZ, de 27.12.2009 N 363-FZ, de 28.06.2010 N 123-FZ,
de 27.07.2010 N 204-FZ)
Capítulo 1. DISPOSIÇÕES GERAIS
Artigo 1. Escopo desta Lei Federal
1. Esta lei Federal, regem o relacionamento, relacionados ao tratamento de dados pessoais, realizadas pelos órgãos federais do poder público, os órgãos do poder de estado da Federação Russa, outras agências governamentais (next - os órgãos estaduais), o governo local, fora do sistema de órgãos do governo local, os organismos municipais (adiante - autoridades municipais), pessoas jurídicas, pessoas físicas com ou sem o uso de ferramentas de automação, se o processamento de dados pessoais sem o uso de tais ferramentas corresponder à natureza das ações (operações) realizadas com dados pessoais usando ferramentas de automação.
2. Esta lei federal não se aplica a relacionamentos decorrentes de:
1) o processamento de dados pessoais por indivíduos é exclusivamente para necessidades pessoais e familiares, a menos que os direitos dos titulares dos dados sejam violados;
2) organização do armazenamento, aquisição, contabilidade e uso de documentos contendo dados pessoais do fundo de arquivo da Federação Russa e outros documentos de arquivo, de acordo com a legislação sobre Arquivo na Federação Russa;
3) tratamento a serem incluídos em um único registro nacional de empresários informações sobre o físico rostos, se esse tratamento é realizado de acordo com a legislação da Federação Russa em conexão com a operação de uma pessoa como empresário individual;
4) processamento de dados pessoais, conforme estabelecido para informações que constituem segredos de Estado;
5) fornecimento por autoridades autorizadas de informações sobre as atividades dos navios na Federação Russa, de acordo com a Lei Federal de 22 de dezembro de 2008 N 262-FZ "Sobre o acesso a informações sobre as atividades dos navios na Federação Russa".
Artigo 2. O objetivo desta Lei Federal
O objetivo desta Lei Federal é garantir a proteção dos direitos e liberdades do indivíduo e do cidadão no processamento de seus dados pessoais, incluindo a proteção dos direitos de Privacidade, privacidade pessoal e segredos de família.
Artigo 3. Conceitos básicos usados nesta Lei Federal
Para os fins desta Lei Federal, os seguintes conceitos básicos são usados:
1) Dados Pessoais significa qualquer informação relacionada a um indivíduo específico ou determinado com base nessas informações (o titular dos dados pessoais), incluindo seu sobrenome, nome, patronímico, ano, mês, data e local de nascimento, endereço, família, status social, propriedade, educação, profissão, renda, outras informações;
2) operador - autoridade pública, Autoridade Municipal, entidade ou indivíduo que organiza e / ou realiza o processamento de dados pessoais, bem como determina a finalidade e o conteúdo do processamento de dados pessoais;
3) processamento de dados pessoais - ações (operações) com dados pessoais, incluindo coleta, sistematização, acumulação, armazenamento, esclarecimento (atualização, alteração), uso, distribuição( incluindo transferência), anonimização, bloqueio, destruição de dados pessoais;
4) divulgação de dados pessoais - a acção destina-se a transferência de dados pessoais a um determinado círculo de pessoas (transferência de dados pessoais) ou a familiarizar-se com os seus dados pessoais de ilimitado número de pessoas, incluindo a divulgação de dados pessoais nos meios de comunicação, a colocação de informação e redes de telecomunicações ou fornecimento de acesso a dados pessoais de qualquer outra maneira;
5) Uso de dados pessoais - ações (operações) com dados pessoais realizadas pelo controlador para tomar decisões ou outras ações que gerem consequências legais contra o titular dos dados ou outras pessoas ou que afetem de outra forma os direitos e liberdades do titular dos dados ou de outras pessoas;
6) Bloqueio de dados pessoais-interrupção temporária da coleta, sistematização, acumulação, uso, distribuição de dados pessoais, incluindo sua transferência;
7) destruição de dados pessoais-ações em que não é possível restaurar o conteúdo de dados pessoais no sistema de informações de dados pessoais ou em que os portadores de dados pessoais são destruídos;
8) despersonalização de dados pessoais-ações em que é impossível determinar a pertença dos dados pessoais a uma pessoa em particular dos dados pessoais;
9) sistema de informação de dados pessoais - o sistema de informação, o que representa uma coleção de dados pessoais contidos em um banco de dados, tecnologias de informação e de meios técnicos que permitem o tratamento de dados pessoais com a utilização de ferramentas de automação ou sem o uso de tais meios de;
10) confidencialidade dos dados pessoais - um requisito obrigatório para o operador ou outra pessoa que tenha acesso aos dados pessoais não permitir sua divulgação sem o consentimento do titular dos dados pessoais ou a existência de outra base legal;
11) transferência transfronteiriça de dados pessoais-transferência de dados pessoais pelo operador através da fronteira do Estado da Federação Russa para uma autoridade de um Estado estrangeiro, uma pessoa física ou jurídica de um Estado estrangeiro;
12) dados pessoais publicamente disponíveis significa dados pessoais aos quais um número ilimitado de pessoas tem acesso com o consentimento do titular dos dados ou que, de acordo com as leis federais, não estão sujeitos a um requisito de confidencialidade.
Artigo 4. Legislação da Federação Russa no campo dos dados pessoais
1. A legislação da Federação Russa no campo dos dados pessoais baseia-se na Constituição da Federação Russa e nos Tratados Internacionais da Federação Russa e consiste nesta Lei Federal e em outros casos e características definidores do processamento de dados pessoais das leis federais.
2. Com base e em conformidade com as leis federais, as autoridades estaduais podem, dentro de sua autoridade, adotar atos legais regulamentares sobre questões específicas relacionadas ao processamento de dados pessoais. Os actos legais regulamentares relativos a determinadas questões relativas ao processamento de dados pessoais não podem conter disposições que limitem os direitos dos titulares dos dados pessoais. Esses atos legais regulamentares estão sujeitos a publicação oficial, com exceção de atos legais regulamentares ou disposições individuais de tais atos legais regulamentares que contenham informações que tenham acesso limitado às leis federais.
3. As peculiaridades do processamento de dados pessoais realizados sem o uso de ferramentas de automação podem ser estabelecidas pelas leis federais e outros atos legais normativos da Federação Russa, levando em consideração as disposições desta Lei Federal.
4. Se o Tratado Internacional da Federação Russa estabelecer regras diferentes daquelas previstas por esta Lei Federal, aplicam-se as regras do Tratado Internacional.
Capítulo 2. PRINCÍPIOS E CONDIÇÕES DO PROCESSAMENTO DE DADOS PESSOAIS
Artigo 5. Princípios do processamento de dados pessoais
1. O processamento de dados pessoais deve ser baseado em princípios:
1) legalidade dos propósitos e métodos de processamento de dados pessoais e boa fé;
2) conformidade com as finalidades do processamento de dados pessoais com as finalidades predeterminadas e declaradas na coleta de dados pessoais, bem como com a autoridade do controlador;
3) conformidade com o volume e a natureza dos dados pessoais processados, métodos de processamento de dados pessoais para fins de processamento de dados pessoais;
4) a confiabilidade dos dados pessoais, sua suficiência para fins de processamento, a inadmissibilidade do processamento de dados pessoais que são excessivos para os fins declarados durante a coleta de dados pessoais;
5) inadmissibilidade da Associação de bancos de dados criados para fins incompatíveis entre si de sistemas de informação de dados pessoais.
2. O armazenamento de dados pessoais deve ser realizado de uma forma que permita determinar o titular dos dados pessoais, não mais do que o necessário para o propósito de seu processamento, e eles devem ser destruídos após o cumprimento dos objetivos de processamento ou em caso de perda da necessidade de alcançá-los.
Artigo 6. Termos do processamento de dados pessoais
1. O processamento de dados pessoais pode ser realizado pelo controlador com o consentimento dos titulares dos dados pessoais, exceto nos casos previstos na parte 2 deste artigo.
2. O consentimento do titular dos dados pessoais previsto na parte 1 deste artigo não é necessário nos seguintes casos:
1) o processamento de dados pessoais é realizado com base na lei federal que estabelece Seu objetivo, as condições para o recebimento de dados pessoais e o círculo de sujeitos cujos dados pessoais estão sujeitos ao processamento, bem como a autoridade do controlador;
1.1) O processamento de dados pessoais é necessário em conexão com a implementação dos tratados internacionais de readmissão da Federação Russa;
2) o processamento de dados pessoais é realizado para fins de execução do Contrato, do qual uma das partes é o titular dos dados pessoais;
3) o processamento de dados pessoais é realizado para fins estatísticos ou outros fins científicos, sujeitos à despersonalização obrigatória de dados pessoais;
4) o processamento de dados pessoais é necessário para proteger a vida, a saúde ou outros interesses vitais do titular dos dados, se não for possível obter o consentimento do titular dos dados pessoais;
5) tratamento de dados pessoais é necessária para a entrega de postais de organizações de serviços de correio, para a implementação de operadores de telecomunicações de cálculos com os usuários de serviços de comunicação, pelos serviços prestados de telecomunicações, e também para a tratamento de reclamações de usuários de serviços de comunicação;
6) o processamento de dados pessoais é realizado para fins de atividade profissional do jornalista ou para fins científicos, literários ou outras atividades criativas, desde que os direitos e liberdades do titular dos dados pessoais não sejam violados;
7) Os dados pessoais a serem publicados de acordo com as leis federais são processados, incluindo dados pessoais de pessoas que substituem cargos públicos, cargos públicos, dados pessoais de candidatos a cargos eleitos estaduais ou municipais.
3. As especificidades do processamento de categorias especiais de dados pessoais, bem como dados pessoais biométricos, são estabelecidas, respectivamente, pelos artigos 10 e 11 desta Lei Federal.
4. No caso de o operador, com base no contrato, confiar o processamento de dados pessoais a outra pessoa, uma condição essencial do contrato é a obrigação de garantir a confidencialidade dos dados pessoais e a segurança dos dados pessoais durante o processamento.
Artigo 7. Privacidade dos dados pessoais
1. Os operadores e terceiros que acessam dados pessoais devem garantir a confidencialidade desses dados, exceto conforme previsto na parte 2 deste artigo.
2. A confidencialidade dos dados pessoais não é necessária:
1) Em caso de anonimização de dados pessoais;
2) em relação aos dados pessoais disponíveis publicamente.
Artigo 8. Fontes públicas de dados pessoais
1. Para fins de suporte de informação, podem ser criadas fontes públicas de dados pessoais (incluindo diretórios, catálogos de endereços). Públicas fontes de dados pessoais com o consentimento por escrito da entidade de dados pessoais podem incluir o sobrenome, o nome, sobrenome, ano e local de nascimento, endereço, número de telefone, para obter informações sobre a profissão e outros dados pessoais fornecidos pelo requerente os dados pessoais.
2. As informações sobre o titular dos dados pessoais podem, a qualquer momento, ser excluídas das fontes públicas de dados pessoais, a pedido do titular dos dados pessoais ou por ordem judicial ou outras autoridades governamentais autorizadas.
Artigo 9. Consentimento do titular dos dados para processar seus dados pessoais
1. O titular dos dados pessoais toma a decisão de fornecer seus dados pessoais e consente em processá-los por sua vontade e interesse, exceto nos casos previstos na parte 2 deste artigo. O consentimento para o processamento de dados pessoais pode ser revogado pelo titular dos dados pessoais.
2. Esta lei Federal e outras leis federais prevê os casos, obrigatória a prestação de titular dos dados pessoais de seus dados pessoais, a fim de proteger os fundamentos da ordem constitucional, da moralidade, da saúde, dos direitos e interesses legítimos de terceiros, a defesa nacional e a segurança do estado.
3. O dever de fornecer a prova do consentimento da entidade de dados pessoais para o processamento de dados pessoais, e no caso de processamento pública de dados pessoais ónus da prova de que manipulam dados pessoais são públicas, cabe à operadora.
4. Nos casos previstos nesta Lei Federal, o processamento de dados pessoais é realizado apenas com o consentimento por escrito do titular dos dados pessoais. O consentimento por escrito do titular dos dados pessoais para o processamento de seus dados pessoais deve incluir:
1) sobrenome, nome, patronímico, endereço do titular dos dados pessoais, Número do documento principal que certifica sua identidade, informações sobre a data de emissão do documento especificado e a autoridade que o emitiu;
2) nome (sobrenome, nome, patronímico) e endereço do operador que recebe o consentimento do titular dos dados pessoais;
3) finalidade do processamento de dados pessoais;
4) lista de dados pessoais para os quais o processamento é dado o consentimento do titular dos dados pessoais;
5) uma lista de ações com dados pessoais para os quais o consentimento é dado, uma descrição geral dos métodos de processamento de Dados Pessoais utilizados pelo controlador;
6) o período durante o qual o consentimento é válido, bem como o procedimento para sua retirada.
5. Para o processamento de dados pessoais contidos no consentimento por escrito do sujeito para o processamento de seus dados pessoais, não é necessário consentimento adicional.
6. Em caso de incapacidade do titular dos dados pessoais, o consentimento para o processamento de seus dados pessoais é dado por escrito pelo representante legal do titular dos dados pessoais.
7. No caso da morte do titular dos dados pessoais, o consentimento para o processamento de seus dados pessoais é dado por escrito pelos herdeiros do titular dos dados pessoais, a menos que tal consentimento tenha sido dado pelo titular dos dados pessoais durante sua vida.
Artigo 10. Categorias especiais de dados pessoais
1. O processamento de categorias especiais de dados pessoais relacionados a raça, nacionalidade, opiniões políticas, crenças religiosas ou filosóficas, estado de saúde, vida íntima não é permitido, exceto nos casos previstos na parte 2 deste artigo.
2. O processamento das categorias especiais de dados pessoais especificadas na parte 1 deste artigo é permitido nos casos em que:
1) o titular dos dados pessoais deu seu consentimento por escrito para o processamento de seus dados pessoais;
2) os dados pessoais estão disponíveis ao público;
2.1) o processamento de dados pessoais é necessário em conexão com a implementação dos tratados internacionais de readmissão da Federação Russa;
2.2) o processamento de dados pessoais é realizado de acordo com a Lei Federal de 25 de janeiro de 2002 N 8-FZ " Sobre o censo de toda a Rússia";
3) dados pessoais referem-se ao estado de saúde do requerente de dados pessoais e o seu tratamento for necessário para proteger a vida, a saúde ou a outros interesses vitais a vida, saúde ou outros interesses vitais de outras pessoas e a obtenção de consentimento do sujeito dados pessoais impossível;
4) o tratamento de dados pessoais é realizado no setor de saúde para fins de prevenção, a fim de estabelecer um diagnóstico médico, prestação de serviços médicos e serviços de saúde, serviços sociais, desde que o tratamento de dados pessoais é realizado o rosto, um profissional que lidam com o médico de operação e de dívida em conformidade com a legislação da Federação Russa de manter o mistério врачебную;
5) tratamento de dados pessoais de membros (participantes) público associação ou organização religiosa implementados relevantes pública a associação ou organização religiosa, aplicáveis em conformidade com a legislação da Federação Da rússia, para atingir os fins legais, previstos seus incorporação de documentos, desde que os dados pessoais não serão divulgados sem o consentimento por escrito de entidades de dados pessoais;
6) o processamento de dados pessoais é necessário em conexão com o exercício da Justiça;
7) o processamento de dados pessoais é realizado de acordo com a legislação da Federação Russa sobre segurança, atividades operacionais de busca e também de acordo com a legislação executiva criminal da Federação Russa.
3. Tratamento de dados pessoais sobre os antecedentes criminais pode ser realizada órgãos estaduais ou municipais, de órgãos no âmbito da autoridade, dada a eles de acordo com a legislação Da Federação, bem como em outras entidades, nos casos e na ordem em que são definidos de acordo com as leis federais.
4. O processamento de categorias especiais de dados pessoais realizados nos casos previstos nas partes 2 e 3 deste artigo deve ser interrompido imediatamente se os motivos pelos quais o processamento foi realizado forem eliminados.
Artigo 11. Dados pessoais biométricos
1. As informações que caracterizam as características fisiológicas de uma pessoa e com base nas quais é possível estabelecer sua identidade (dados pessoais biométricos) só podem ser processadas se houver consentimento por escrito do titular dos dados pessoais, exceto nos casos previstos na parte 2 deste artigo.
2. O tratamento biométricos dos dados pessoais pode ser realizado sem o consentimento da entidade de dados pessoais em conexão com a implementação de tratados internacionais da Federação Da rússia sobre a readmissão, com a aplicação da justiça, bem como nos casos previstos pela legislação da Federação Russa sobre a segurança, a legislação da Federação Russa sobre prontamente-pesquisa de atividade, a legislação Da Federação russa sobre o serviço público, de direito penal-executivo da legislação da Federação Russa, a legislação da Federação Russa sobre o procedimento para deixar a Federação Russa e entrar na Federação Russa.
Artigo 12. Transferência transfronteiriça de dados pessoais
1. Antes do início da transferência transfronteiriça de dados pessoais, o operador é obrigado a garantir que o Estado estrangeiro, no território do qual os dados pessoais são transferidos, garanta a proteção adequada dos direitos dos titulares dos dados pessoais.
2. Transferência internacional de dados pessoais, em que os espaços de estados estrangeiros, garantindo a proteção adequada dos direitos dos sujeitos de dados pessoais, em conformidade com a lei Federal e pode ser proibida ou restringida a fim de proteger os fundamentos do sistema constitucional da Federação Da rússia, da moralidade, da saúde, dos direitos e interesses legítimos dos cidadãos, a defesa nacional e a segurança do estado.
3. A transferência transfronteiriça de dados pessoais no território de países estrangeiros que não garantam a proteção adequada dos direitos dos titulares dos dados pessoais pode ser realizada nos casos de:
1) Ter o consentimento por escrito do titular dos dados pessoais;
2) estipulado pelos Tratados Internacionais da Federação Russa sobre questões de emissão de vistos, tratados internacionais da Federação Russa sobre a prestação de assistência jurídica em casos civis, familiares e criminais, bem como tratados internacionais da Federação Russa sobre readmissão;
3) previsto pelas leis federais, se necessário, a fim de proteger os fundamentos do sistema constitucional da Federação Russa, garantir a defesa do país e a segurança do estado;
4) execução do Contrato, do qual a parte é o titular dos dados pessoais;
5) proteger a vida, a saúde, outros interesses vitais do titular dos dados ou de outras pessoas se não for possível obter o consentimento por escrito do titular dos dados.
Artigo 13. Características do processamento de dados pessoais em sistemas de informação de dados pessoais estaduais ou municipais
1. As autoridades públicas, as autoridades municipais criam dentro de seus poderes estabelecidos de acordo com as leis federais, sistemas de informação estaduais ou municipais de dados pessoais.
2. As leis federais podem ser instalados recursos de contabilidade de dados pessoais estaduais e municipais de sistemas de informação de dados pessoais, incluindo o uso de diferentes formas de designar o pessoal dados pessoais contidos no respectivo estado ou município sistema de informação de dados pessoais, específico para a entidade de dados pessoais.
3. Os direitos e liberdades de uma pessoa e de um cidadão não podem ser limitados por motivos relacionados ao uso de vários métodos de processamento de dados pessoais ou à designação da Afiliação de dados pessoais contidos nos sistemas de informações estaduais ou municipais de dados pessoais ao titular específico dos dados pessoais. Não é permitido o uso de métodos que ofendam os sentimentos dos cidadãos ou degradam a dignidade humana de designar a afiliação de dados pessoais contidos nos sistemas de informação estaduais ou municipais de dados pessoais a um sujeito específico de dados pessoais.
4. A fim de garantir o exercício dos direitos dos titulares de dados pessoais em conexão com o processamento de seus dados pessoais nos sistemas de informação estaduais ou municipais de dados pessoais, pode ser criado um registro estadual da população, cujo status legal e procedimento de trabalho são estabelecidos pela lei federal.
Capítulo 3. DIREITOS DO TITULAR DOS DADOS
Artigo 14. O direito do titular dos dados de acessar seus dados pessoais
1. O titular dos dados pessoais tem o direito de receber informações sobre o operador, sua localização, a presença do controlador de dados pessoais relacionados ao titular dos dados pessoais em questão, bem como a familiarização com esses dados pessoais, exceto nos casos previstos na parte 5 deste artigo. O titular dos dados pessoais tem o direito de exigir que o controlador esclareça, bloqueie ou destrua seus dados pessoais se os dados pessoais estiverem incompletos, desatualizados, imprecisos, obtidos ilegalmente ou não forem necessários para o propósito declarado do processamento e tome as medidas legais para proteger seus direitos.
2. As informações sobre a disponibilidade de dados pessoais devem ser fornecidas ao titular dos dados pessoais de forma acessível pelo controlador e não devem conter dados pessoais relacionados a outros titulares de dados pessoais.
3. O acesso aos seus dados pessoais é concedido ao titular dos dados pessoais ou ao seu representante legal pelo operador quando contactado ou quando solicitado pelo titular dos dados ou pelo seu representante legal. A solicitação deve conter o número principal do documento de identidade do requerente de dados pessoais ou do seu representante legal, informações sobre a data de emissão do documento e выдавшем seu órgão e собственноручную assinatura do requerente de dados pessoais ou do seu representante legal. O pedido pode ser enviado eletronicamente e assinado com uma assinatura digital eletrônica de acordo com a legislação da Federação Russa.
4. O titular dos dados pessoais tem o direito de receber, ao entrar em contato ou ao receber uma solicitação de informações relacionadas ao processamento de seus dados pessoais, incluindo aqueles que contêm:
1) confirmação do fato do processamento de dados pessoais pelo controlador, bem como a finalidade desse processamento;
2) métodos de processamento de Dados Pessoais utilizados pelo operador;
3) informações sobre as pessoas que têm acesso aos dados pessoais ou a quem esse acesso pode ser concedido;
4) a lista de dados pessoais processados e a fonte de seu recebimento;
5) períodos de processamento de dados pessoais, incluindo períodos de retenção;
6) informações sobre as consequências legais para o titular dos dados podem implicar o processamento dos seus dados pessoais.
5. O direito do titular dos dados de acessar seus dados pessoais é limitado se:
1) o processamento de dados pessoais, incluindo dados pessoais obtidos como resultado de atividades operacionais de busca, contra-inteligência e inteligência, é realizado para fins de defesa do país, segurança do estado e aplicação da lei;
2) o processamento de dados pessoais é realizado pelas autoridades que detiveram o titular dos dados pessoais por suspeita de um crime, ou que indiciaram o titular dos dados pessoais em um caso criminal ou aplicaram uma medida preventiva ao titular dos dados pessoais antes da acusação, com exceção dos casos previstos pela legislação processual criminal da Federação Russa, se for permitido familiarizar o suspeito;
3) o fornecimento de dados pessoais viola os direitos e liberdades constitucionais de outras pessoas.
Artigo 15. Os direitos dos titulares dos dados no processamento dos seus dados pessoais para fins de promoção de bens, obras, serviços no mercado, bem como para fins de agitação política
1. O tratamento de dados pessoais para fins de promoção de bens e serviços no mercado através da implementação de um contato direto com o consumidor potencial através de meios de comunicação, também para fins de agitação política só é permitida, desde o prévio consentimento da entidade de dados pessoais. O referido processamento de dados pessoais é considerado realizado sem o consentimento prévio do titular dos dados pessoais, a menos que o operador prove que tal consentimento foi obtido.
2. O operador é obrigado a interromper imediatamente, a pedido do titular dos dados pessoais, o processamento de seus dados pessoais, conforme especificado na parte 1 deste artigo.
Artigo 16. Direitos dos titulares de dados ao tomar decisões com base no processamento exclusivamente automatizado de seus dados pessoais
1. É proibida a tomada de decisões com base exclusivamente no processamento automatizado de dados pessoais que gerem consequências legais em relação ao titular dos dados pessoais ou que de outra forma afetem seus direitos e interesses legítimos, exceto conforme previsto na parte 2 deste artigo.
2. Uma decisão que cause consequências legais em relação ao titular dos dados ou que afete de outra forma seus direitos e interesses legítimos pode ser tomada com base apenas no processamento automatizado de seus dados pessoais, apenas se houver consentimento por escrito do titular dos dados ou nos casos previstos em leis federais que também estabelecem medidas para garantir o cumprimento dos direitos
3. O operador é obrigado a esclarecer à entidade de dados pessoais, o procedimento de tomada de decisões baseadas exclusivamente ao tratamento automatizado de dados pessoais e as possíveis consequências legais de uma tal decisão, conceder a oportunidade de apresentar objeção contra tal decisão, bem como para esclarecer a ordem de proteção do titular de dados pessoais, dos seus direitos e interesses legítimos.
4. O operador é obrigado a rever a objeção especificada na parte 3 deste artigo no prazo de sete dias úteis a partir da data de sua recepção e notificar o titular dos dados pessoais sobre os resultados da consideração de tal objeção.
Artigo 17. Direito de recorrer de ações ou omissões do operador
1. Se o sujeito dados pessoais acredita que o operador realiza o tratamento de dados pessoais e a violação dos requisitos da presente lei ou de outra forma viola os seus direitos e liberdade, a entidade de dados pessoais tem o direito de recorrer da ação ou omissão do operador, a autoridade de protecção de direitos de entidades de dados pessoais ou judicial.
2. O titular dos dados tem o direito de proteger seus direitos e interesses legítimos, incluindo indenização por danos e / ou danos morais em processos judiciais.
Capítulo 4. DEVERES DO OPERADOR
Artigo 18. Responsabilidades do controlador na coleta de dados pessoais
1. Ao coletar dados pessoais, o operador é obrigado a fornecer ao titular dos dados pessoais, a seu pedido, as informações previstas na parte 4 do artigo 14 desta Lei Federal.
2. Se a obrigação de fornecer dados pessoais for estabelecida por lei federal, o operador é obrigado a esclarecer ao titular dos dados as consequências legais da recusa em fornecer seus dados pessoais.
3. Se as informações foram obtidas não a partir do titular de dados pessoais, exceto se as informações foram fornecidas ao operador com base na lei federal, ou se os dados pessoais são públicos, operador antes de iniciar o processamento de dados pessoais deve fornecer à entidade de dados pessoais a seguinte informação:
1) nome (sobrenome, nome, patronímico) e endereço do operador ou seu representante;
2) finalidade do processamento de dados pessoais e sua base legal;
3) usuários pretendidos de dados pessoais;
4) os direitos estabelecidos por esta Lei Federal do titular dos dados pessoais.
Artigo 19. Medidas para garantir a segurança dos dados pessoais durante o processamento
1. O responsável pelo tratamento de dados pessoais é obrigado a tomar as medidas organizacionais e técnicas necessárias para proteger os dados pessoais contra acesso ilegal ou acidental, destruição, Alteração, bloqueio, cópia, distribuição de dados pessoais e contra outras ações ilegais.
2. O governo da Federação Da rússia estabelece os requisitos de segurança de dados pessoais durante o seu processamento em sistemas de informação de dados pessoais, os requisitos de material de objetos biométricos de dados pessoais e tecnológica de armazenamento de tais dados para fora dos sistemas de informação de dados pessoais.
3. O controle e supervisão do cumprimento dos requisitos estabelecidos pelo Governo da Federação Russa de acordo com a parte 2 deste artigo são realizados pelo órgão executivo federal, autorizado no campo da segurança, e pelo órgão executivo federal, autorizado no campo da oposição à inteligência técnica e proteção técnica da informação, dentro de sua autoridade e sem o direito de se familiarizar com os
4. O uso e a retenção de biometria dados pessoais, fora os sistemas de informação de dados pessoais somente podem ser tais materiais, suportes de informação e com a aplicação de tal tecnologia para o seu armazenamento, que prevê a proteção desses dados a partir de indevida ou acidental de acesso, destruição, alteração, bloqueio, cópia, distribuição.
Artigo 20. Obrigações do operador ao entrar em contato ou ao receber uma solicitação do titular dos dados ou de seu representante legal, bem como de uma autoridade autorizada para a proteção dos direitos dos titulares dos dados
1. O operador é obrigado, conforme previsto no artigo 14 desta Lei Federal, a informar o titular dos dados pessoais ou seu representante legal sobre a disponibilidade de dados pessoais relacionados ao titular dos dados pessoais em questão e a fornecer a oportunidade de se familiarizar com eles quando o titular dos dados ou seu representante legal entrar em contato ou dentro de dez
2. No caso de uma recusa em fornecer ao titular dos dados pessoais ou ao seu representante legal ao entrar em contato ou ao receber uma solicitação do titular dos dados pessoais ou do seu representante legal para obter informações sobre a disponibilidade de dados pessoais sobre o titular dos dados pessoais em questão, bem como tais dados pessoais, o operador deve fornecer uma resposta, não excedendo sete dias úteis a partir da data em que o titular dos dados ou seu representante legal entrou em contato ou a partir da data em que o titular dos dados ou seu representante legal foi solicitado.
3. O operador é obrigado a fornecer gratuitamente ao titular dos dados pessoais ou ao seu representante legal a oportunidade de se familiarizar com os dados pessoais relacionados ao titular dos dados pessoais em questão, bem como fazer as alterações necessárias, destruir ou bloquear os dados pessoais relevantes para o fornecimento pelo titular dos dados pessoais ou seu representante legal de informações que, obtidos ilegalmente ou não são necessários para a finalidade declarada do processamento. Sobre as alterações e medidas tomadas, o operador deve notificar o titular dos dados ou seu representante legal e terceiros aos quais os dados pessoais desse sujeito foram transferidos.
4. O operador é obrigado a informar à autoridade de protecção de direitos de entidades de dados pessoais a seu pedido, as informações necessárias para a execução de atividades com o referido órgão, no prazo de sete dias úteis a partir da data de recebimento de tal solicitação.
Artigo 21. Obrigações do operador para corrigir violações legais cometidas no processamento de dados pessoais, bem como para esclarecer, bloquear e destruir dados pessoais
1. No caso de identificação de dados pessoais incorretos ou ações ilegais com eles pelo operador, quando contactado ou solicitado pelo titular dos dados pessoais ou pelo seu representante legal ou pelo organismo autorizado para a proteção dos direitos dos titulares dos dados pessoais, o operador é obrigado a bloquear os dados pessoais relativos ao titular dos dados pessoais relevantes a partir do momento
2. Em caso de confirmação de um fato недостоверности dados pessoais do operador com base nos documentos apresentados pelo requerente de dados pessoais ou seu representante legal ou autoridade de protecção de direitos de entidades de dados pessoais, ou outros documentos necessários a obrigação de esclarecer os dados pessoais e remova o bloqueio.
Artigo 22. Aviso sobre o processamento de dados pessoais
1. O operador antes de iniciar o processamento de dados pessoais é obrigado a notificar a autoridade de protecção de direitos de assuntos pessoais, dados sobre sua intenção de realizar o tratamento de dados pessoais, exceto para os casos previstos no parágrafo 2 do presente artigo.
2. O operador tem o direito de realizar o processamento de dados pessoais sem aviso prévio à autoridade autorizada para a proteção dos direitos dos titulares dos dados pessoais:
1) Dados Pessoais relacionados aos titulares, que estão associados a uma relação de trabalho com o operador;
2) obtidos pelo operador em conexão com a celebração de contrato, parte do qual é sujeito dados pessoais, se os dados pessoais não serão distribuídas, e não são fornecidos a terceiros sem o consentimento da entidade de dados pessoais e usa o operador exclusivamente para execução do referido contrato e os contratos com a entidade de dados pessoais;
3) relativas aos membros (os participantes) público associação ou organização religiosa e das respectivas pública a associação ou organização religiosa, aplicáveis em conformidade com a legislação da Federação Da rússia, para atingir os fins legais, previstos seus incorporação de documentos, desde que os dados pessoais não serão divulgados sem o consentimento por escrito de entidades de dados pessoais;
4) Dados Pessoais publicamente disponíveis;
5) incluir apenas os sobrenomes, nomes e patronímicos dos titulares dos dados pessoais;
6) necessário para uma única passagem do titular dos dados pessoais para o território em que o operador está localizado ou para outros fins semelhantes;
7) incluídos no sistema de informação de dados pessoais, tendo, em conformidade com as leis federais status federais automatizado de sistemas de informação, bem como no governo de sistemas de informação de dados pessoais, criados a fim de proteger a segurança do estado e da ordem pública;
8) processados sem o uso de ferramentas de automação de acordo com as leis federais ou em outras regulamentos Da Federação de definição de requisitos de segurança de dados pessoais durante o seu processamento e a observância dos direitos dos sujeitos de dados pessoais.
3. A notificação prevista na parte 1 deste artigo deve ser enviada por escrito e assinada por uma pessoa autorizada ou enviada eletronicamente e assinada com uma assinatura digital eletrônica de acordo com a legislação da Federação Russa. O aviso deve incluir as seguintes informações:
1) nome (sobrenome, nome, patronímico), endereço do operador;
2) finalidade do processamento de dados pessoais;
3) categorias de dados pessoais;
4) categorias de sujeitos cujos dados pessoais são processados;
5) base legal para o processamento de dados pessoais;
6) uma lista de ações com dados pessoais, uma descrição geral dos métodos utilizados pelo controlador para processar dados pessoais;
7) uma descrição das medidas que o operador se compromete a implementar no processamento de dados pessoais para garantir a segurança dos dados pessoais durante o processamento;
8) Data de início do processamento de dados pessoais;
9) termo ou condição para o término do processamento de dados pessoais.
4. A autoridade autorizada para a proteção dos direitos dos titulares de dados, no prazo de trinta dias a contar da data de recebimento da notificação sobre o processamento de dados pessoais, insere as informações especificadas na parte 3 deste artigo, bem como as informações sobre a data em que a notificação foi enviada ao registro do operador. As informações contidas no registro do processador, com exceção das informações sobre a segurança dos dados pessoais durante o processamento, estão disponíveis ao público.
5. O operador não pode ser cobrado em conexão com a consideração do Aviso sobre o processamento de dados pessoais pela Autoridade autorizada para a proteção dos direitos dos titulares de dados, bem como em conexão com a entrada de informações no registro do operador.
6. No caso de fornecer informações incompletas ou imprecisas especificadas na parte 3 deste artigo, a autoridade autorizada para a proteção dos direitos dos titulares de dados tem o direito de exigir que o operador esclareça as informações fornecidas antes de inseri-las no registro do operador.
7. Em caso de alteração das informações referidas na parte 3 do presente artigo, o operador deve notificar sobre mudanças comissário para a protecção de direitos de entidades de dados pessoais, no prazo de dez dias úteis a partir da data de ocorrência de tais alterações.
Capítulo 5. CONTROLE E SUPERVISÃO DO PROCESSAMENTO DE DADOS PESSOAIS. RESPONSABILIDADE POR VIOLAÇÃO DESTA LEI FEDERAL
Artigo 23. Autoridade autorizada para a proteção dos direitos dos titulares dos dados
1. A autoridade autorizada para a proteção dos direitos dos titulares de dados, encarregada de supervisionar e supervisionar a conformidade do processamento de dados pessoais com os requisitos desta Lei Federal, é a autoridade executiva federal que atua como Autoridade de controle e Supervisão no campo das tecnologias da informação e comunicações.
2. A autoridade autorizada para a proteção dos direitos dos titulares dos dados pessoais considera os recursos do titular dos dados pessoais sobre a conformidade do conteúdo dos dados pessoais e os métodos de processamento para os fins de seu processamento e toma a decisão apropriada.
3. A autoridade autorizada para a proteção dos direitos dos titulares dos dados tem o direito de:
1) solicitar às pessoas físicas ou jurídicas as informações necessárias para exercer sua autoridade e receber essas informações GRATUITAMENTE;
2) Verificar as informações contidas no Aviso de processamento de dados pessoais ou envolver outras autoridades governamentais dentro de sua autoridade para realizar tal verificação;
3) exigir que o operador esclareça, bloqueie ou destrua dados pessoais incorretos ou obtidos ilegalmente;
4) tomar, no procedimento estabelecido pela legislação da Federação Russa, medidas para suspender ou interromper o processamento de dados pessoais realizados em violação dos requisitos desta Lei Federal;
5) apresentar ações judiciais em defesa dos direitos dos titulares dos dados e representar os interesses dos titulares dos dados em tribunal;
6) orientar o comunicado do órgão, a equipa de licenciamento de atividades do operador, para considerar a adoção de medidas de invalidar ou anular a licença apropriada na forma da legislação Federação Da rússia ordem, se a condição de licença para o exercício de tais atividades é a proibição de transmissão de dados pessoais a terceiros sem o consentimento por escrito da entidade de dados pessoais;
7) enviar materiais ao ministério público e outras agências policiais para resolver a questão da instauração de processos criminais com base em crimes relacionados à violação dos direitos dos titulares de dados pessoais, de acordo com a jurisdição;
8) fazer propostas ao Governo da Federação Russa para melhorar a regulamentação legal normativa da proteção dos direitos dos titulares de dados pessoais;
9) responsabilizar as pessoas responsáveis pela violação desta Lei Federal.
4. No que diz respeito aos dados pessoais que se tornaram conhecidos pela Autoridade autorizada para a proteção dos direitos dos titulares de dados no curso de suas atividades, a confidencialidade dos dados pessoais deve ser assegurada.
5. A autoridade autorizada para a proteção dos direitos dos titulares dos dados é obrigada:
1) organizar, de acordo com os requisitos desta Lei Federal e de outras leis federais, a proteção dos direitos dos titulares de dados;
2) lidar com reclamações e apelos de cidadãos ou pessoas jurídicas sobre questões relacionadas ao processamento de dados pessoais e tomar, dentro de sua autoridade, decisões sobre os resultados do tratamento dessas queixas e apelos;
3) manter um registro de operadores;
4) implementar medidas destinadas a melhorar a proteção dos direitos dos titulares dos dados pessoais;
5) tomar, na ordem estabelecida pela legislação da Federação Russa, a pedido da autoridade executiva Federal, autorizada no campo da segurança, ou da autoridade executiva Federal, autorizada no campo da oposição à inteligência técnica e proteção técnica da informação, medidas para suspender ou interromper o processamento de dados pessoais;
6) informar as autoridades públicas, bem como os titulares dos dados pessoais sobre os seus apelos ou pedidos sobre o estado das coisas no campo da proteção dos direitos dos titulares dos dados;
7) cumprir outras obrigações previstas pela legislação da Federação Russa.
6. As decisões da Autoridade autorizada para a proteção dos direitos dos titulares dos dados pessoais podem ser apeladas em tribunal.
7. A autoridade autorizada para a proteção dos direitos dos titulares de dados envia anualmente um relatório sobre suas atividades ao Presidente da Federação russa, ao Governo da Federação Russa e à Assembléia Federal da Federação Russa. Este relatório está sujeito a publicação na mídia.
8. O financiamento da Autoridade autorizada para a proteção dos direitos dos titulares de dados é realizado com fundos do orçamento federal.
9. Sob a autoridade autorizada para a proteção dos direitos dos titulares de dados pessoais, um Conselho Consultivo é criado em bases públicas, cujo procedimento de formação e procedimento de atividade é determinado pela Autoridade autorizada para a proteção dos direitos dos titulares de dados pessoais.
Artigo 24. Responsabilidade por violação desta Lei Federal
As pessoas culpadas de violar os requisitos desta Lei Federal assumem responsabilidades civis, criminais, administrativas, disciplinares e outras previstas pela legislação da Federação Russa.
Capítulo 6. DISPOSIÇÕES FINAIS
Artigo 25. Disposições finais
1. Esta Lei Federal entra em vigor após cento e oitenta dias após o dia de sua publicação oficial.
2. Após o dia em que esta Lei Federal entra em vigor, o processamento de dados pessoais incluídos nos sistemas de informação de dados pessoais antes do dia em que entra em vigor é realizado de acordo com esta Lei Federal.
3. Os sistemas de informação de dados pessoais criados antes de 1º de janeiro de 2010 devem estar em conformidade com os requisitos desta Lei Federal até 1º de janeiro de 2011, o mais tardar.
4. Os operadores que processam dados pessoais antes da data em que esta Lei Federal entra em vigor e continuam a processá-los após a data em que ela entra em vigor devem enviar à autoridade autorizada de proteção dos direitos dos titulares dos dados, exceto conforme previsto na parte 2 do artigo 22 desta Lei Federal, um aviso previsto na parte 3 do artigo 22
Presidente da Federação Russa V. Putin Moscou, Kremlin 27 Julho 2006 N 152-FZ
Adotado pela Duma do estado em 8 de julho de 2006, aprovado pelo Conselho da Federação em 14 de julho de 2006
leis federais de 25.11.2009 N 266-FZ, de 27.12.2009 N 363-FZ, de 28.06.2010 N 123-FZ,
de 27.07.2010 N 204-FZ)
Capítulo 1. DISPOSIÇÕES GERAIS
Artigo 1. Escopo desta Lei Federal
1. Esta lei Federal, regem o relacionamento, relacionados ao tratamento de dados pessoais, realizadas pelos órgãos federais do poder público, os órgãos do poder de estado da Federação Russa, outras agências governamentais (next - os órgãos estaduais), o governo local, fora do sistema de órgãos do governo local, os organismos municipais (adiante - autoridades municipais), pessoas jurídicas, pessoas físicas com ou sem o uso de ferramentas de automação, se o processamento de dados pessoais sem o uso de tais ferramentas corresponder à natureza das ações (operações) realizadas com dados pessoais usando ferramentas de automação.
2. Esta lei federal não se aplica a relacionamentos decorrentes de:
1) o processamento de dados pessoais por indivíduos é exclusivamente para necessidades pessoais e familiares, a menos que os direitos dos titulares dos dados sejam violados;
2) organização do armazenamento, aquisição, contabilidade e uso de documentos contendo dados pessoais do fundo de arquivo da Federação Russa e outros documentos de arquivo, de acordo com a legislação sobre Arquivo na Federação Russa;
3) tratamento a serem incluídos em um único registro nacional de empresários informações sobre o físico rostos, se esse tratamento é realizado de acordo com a legislação da Federação Russa em conexão com a operação de uma pessoa como empresário individual;
4) processamento de dados pessoais, conforme estabelecido para informações que constituem segredos de Estado;
5) fornecimento por autoridades autorizadas de informações sobre as atividades dos navios na Federação Russa, de acordo com a Lei Federal de 22 de dezembro de 2008 N 262-FZ "Sobre o acesso a informações sobre as atividades dos navios na Federação Russa".
Artigo 2. O objetivo desta Lei Federal
O objetivo desta Lei Federal é garantir a proteção dos direitos e liberdades do indivíduo e do cidadão no processamento de seus dados pessoais, incluindo a proteção dos direitos de Privacidade, privacidade pessoal e segredos de família.
Artigo 3. Conceitos básicos usados nesta Lei Federal
Para os fins desta Lei Federal, os seguintes conceitos básicos são usados:
1) Dados Pessoais significa qualquer informação relacionada a um indivíduo específico ou determinado com base nessas informações (o titular dos dados pessoais), incluindo seu sobrenome, nome, patronímico, ano, mês, data e local de nascimento, endereço, família, status social, propriedade, educação, profissão, renda, outras informações;
2) operador - autoridade pública, Autoridade Municipal, entidade ou indivíduo que organiza e / ou realiza o processamento de dados pessoais, bem como determina a finalidade e o conteúdo do processamento de dados pessoais;
3) processamento de dados pessoais - ações (operações) com dados pessoais, incluindo coleta, sistematização, acumulação, armazenamento, esclarecimento (atualização, alteração), uso, distribuição( incluindo transferência), anonimização, bloqueio, destruição de dados pessoais;
4) divulgação de dados pessoais - a acção destina-se a transferência de dados pessoais a um determinado círculo de pessoas (transferência de dados pessoais) ou a familiarizar-se com os seus dados pessoais de ilimitado número de pessoas, incluindo a divulgação de dados pessoais nos meios de comunicação, a colocação de informação e redes de telecomunicações ou fornecimento de acesso a dados pessoais de qualquer outra maneira;
5) Uso de dados pessoais - ações (operações) com dados pessoais realizadas pelo controlador para tomar decisões ou outras ações que gerem consequências legais contra o titular dos dados ou outras pessoas ou que afetem de outra forma os direitos e liberdades do titular dos dados ou de outras pessoas;
6) Bloqueio de dados pessoais-interrupção temporária da coleta, sistematização, acumulação, uso, distribuição de dados pessoais, incluindo sua transferência;
7) destruição de dados pessoais-ações em que não é possível restaurar o conteúdo de dados pessoais no sistema de informações de dados pessoais ou em que os portadores de dados pessoais são destruídos;
8) despersonalização de dados pessoais-ações em que é impossível determinar a pertença dos dados pessoais a uma pessoa em particular dos dados pessoais;
9) sistema de informação de dados pessoais - o sistema de informação, o que representa uma coleção de dados pessoais contidos em um banco de dados, tecnologias de informação e de meios técnicos que permitem o tratamento de dados pessoais com a utilização de ferramentas de automação ou sem o uso de tais meios de;
10) confidencialidade dos dados pessoais - um requisito obrigatório para o operador ou outra pessoa que tenha acesso aos dados pessoais não permitir sua divulgação sem o consentimento do titular dos dados pessoais ou a existência de outra base legal;
11) transferência transfronteiriça de dados pessoais-transferência de dados pessoais pelo operador através da fronteira do Estado da Federação Russa para uma autoridade de um Estado estrangeiro, uma pessoa física ou jurídica de um Estado estrangeiro;
12) dados pessoais publicamente disponíveis significa dados pessoais aos quais um número ilimitado de pessoas tem acesso com o consentimento do titular dos dados ou que, de acordo com as leis federais, não estão sujeitos a um requisito de confidencialidade.
Artigo 4. Legislação da Federação Russa no campo dos dados pessoais
1. A legislação da Federação Russa no campo dos dados pessoais baseia-se na Constituição da Federação Russa e nos Tratados Internacionais da Federação Russa e consiste nesta Lei Federal e em outros casos e características definidores do processamento de dados pessoais das leis federais.
2. Com base e em conformidade com as leis federais, as autoridades estaduais podem, dentro de sua autoridade, adotar atos legais regulamentares sobre questões específicas relacionadas ao processamento de dados pessoais. Os actos legais regulamentares relativos a determinadas questões relativas ao processamento de dados pessoais não podem conter disposições que limitem os direitos dos titulares dos dados pessoais. Esses atos legais regulamentares estão sujeitos a publicação oficial, com exceção de atos legais regulamentares ou disposições individuais de tais atos legais regulamentares que contenham informações que tenham acesso limitado às leis federais.
3. As peculiaridades do processamento de dados pessoais realizados sem o uso de ferramentas de automação podem ser estabelecidas pelas leis federais e outros atos legais normativos da Federação Russa, levando em consideração as disposições desta Lei Federal.
4. Se o Tratado Internacional da Federação Russa estabelecer regras diferentes daquelas previstas por esta Lei Federal, aplicam-se as regras do Tratado Internacional.
Capítulo 2. PRINCÍPIOS E CONDIÇÕES DO PROCESSAMENTO DE DADOS PESSOAIS
Artigo 5. Princípios do processamento de dados pessoais
1. O processamento de dados pessoais deve ser baseado em princípios:
1) legalidade dos propósitos e métodos de processamento de dados pessoais e boa fé;
2) conformidade com as finalidades do processamento de dados pessoais com as finalidades predeterminadas e declaradas na coleta de dados pessoais, bem como com a autoridade do controlador;
3) conformidade com o volume e a natureza dos dados pessoais processados, métodos de processamento de dados pessoais para fins de processamento de dados pessoais;
4) a confiabilidade dos dados pessoais, sua suficiência para fins de processamento, a inadmissibilidade do processamento de dados pessoais que são excessivos para os fins declarados durante a coleta de dados pessoais;
5) inadmissibilidade da Associação de bancos de dados criados para fins incompatíveis entre si de sistemas de informação de dados pessoais.
2. O armazenamento de dados pessoais deve ser realizado de uma forma que permita determinar o titular dos dados pessoais, não mais do que o necessário para o propósito de seu processamento, e eles devem ser destruídos após o cumprimento dos objetivos de processamento ou em caso de perda da necessidade de alcançá-los.
Artigo 6. Termos do processamento de dados pessoais
1. O processamento de dados pessoais pode ser realizado pelo controlador com o consentimento dos titulares dos dados pessoais, exceto nos casos previstos na parte 2 deste artigo.
2. O consentimento do titular dos dados pessoais previsto na parte 1 deste artigo não é necessário nos seguintes casos:
1) o processamento de dados pessoais é realizado com base na lei federal que estabelece Seu objetivo, as condições para o recebimento de dados pessoais e o círculo de sujeitos cujos dados pessoais estão sujeitos ao processamento, bem como a autoridade do controlador;
1.1) O processamento de dados pessoais é necessário em conexão com a implementação dos tratados internacionais de readmissão da Federação Russa;
2) o processamento de dados pessoais é realizado para fins de execução do Contrato, do qual uma das partes é o titular dos dados pessoais;
3) o processamento de dados pessoais é realizado para fins estatísticos ou outros fins científicos, sujeitos à despersonalização obrigatória de dados pessoais;
4) o processamento de dados pessoais é necessário para proteger a vida, a saúde ou outros interesses vitais do titular dos dados, se não for possível obter o consentimento do titular dos dados pessoais;
5) tratamento de dados pessoais é necessária para a entrega de postais de organizações de serviços de correio, para a implementação de operadores de telecomunicações de cálculos com os usuários de serviços de comunicação, pelos serviços prestados de telecomunicações, e também para a tratamento de reclamações de usuários de serviços de comunicação;
6) o processamento de dados pessoais é realizado para fins de atividade profissional do jornalista ou para fins científicos, literários ou outras atividades criativas, desde que os direitos e liberdades do titular dos dados pessoais não sejam violados;
7) Os dados pessoais a serem publicados de acordo com as leis federais são processados, incluindo dados pessoais de pessoas que substituem cargos públicos, cargos públicos, dados pessoais de candidatos a cargos eleitos estaduais ou municipais.
3. As especificidades do processamento de categorias especiais de dados pessoais, bem como dados pessoais biométricos, são estabelecidas, respectivamente, pelos artigos 10 e 11 desta Lei Federal.
4. No caso de o operador, com base no contrato, confiar o processamento de dados pessoais a outra pessoa, uma condição essencial do contrato é a obrigação de garantir a confidencialidade dos dados pessoais e a segurança dos dados pessoais durante o processamento.
Artigo 7. Privacidade dos dados pessoais
1. Os operadores e terceiros que acessam dados pessoais devem garantir a confidencialidade desses dados, exceto conforme previsto na parte 2 deste artigo.
2. A confidencialidade dos dados pessoais não é necessária:
1) Em caso de anonimização de dados pessoais;
2) em relação aos dados pessoais disponíveis publicamente.
Artigo 8. Fontes públicas de dados pessoais
1. Para fins de suporte de informação, podem ser criadas fontes públicas de dados pessoais (incluindo diretórios, catálogos de endereços). Públicas fontes de dados pessoais com o consentimento por escrito da entidade de dados pessoais podem incluir o sobrenome, o nome, sobrenome, ano e local de nascimento, endereço, número de telefone, para obter informações sobre a profissão e outros dados pessoais fornecidos pelo requerente os dados pessoais.
2. As informações sobre o titular dos dados pessoais podem, a qualquer momento, ser excluídas das fontes públicas de dados pessoais, a pedido do titular dos dados pessoais ou por ordem judicial ou outras autoridades governamentais autorizadas.
Artigo 9. Consentimento do titular dos dados para processar seus dados pessoais
1. O titular dos dados pessoais toma a decisão de fornecer seus dados pessoais e consente em processá-los por sua vontade e interesse, exceto nos casos previstos na parte 2 deste artigo. O consentimento para o processamento de dados pessoais pode ser revogado pelo titular dos dados pessoais.
2. Esta lei Federal e outras leis federais prevê os casos, obrigatória a prestação de titular dos dados pessoais de seus dados pessoais, a fim de proteger os fundamentos da ordem constitucional, da moralidade, da saúde, dos direitos e interesses legítimos de terceiros, a defesa nacional e a segurança do estado.
3. O dever de fornecer a prova do consentimento da entidade de dados pessoais para o processamento de dados pessoais, e no caso de processamento pública de dados pessoais ónus da prova de que manipulam dados pessoais são públicas, cabe à operadora.
4. Nos casos previstos nesta Lei Federal, o processamento de dados pessoais é realizado apenas com o consentimento por escrito do titular dos dados pessoais. O consentimento por escrito do titular dos dados pessoais para o processamento de seus dados pessoais deve incluir:
1) sobrenome, nome, patronímico, endereço do titular dos dados pessoais, Número do documento principal que certifica sua identidade, informações sobre a data de emissão do documento especificado e a autoridade que o emitiu;
2) nome (sobrenome, nome, patronímico) e endereço do operador que recebe o consentimento do titular dos dados pessoais;
3) finalidade do processamento de dados pessoais;
4) lista de dados pessoais para os quais o processamento é dado o consentimento do titular dos dados pessoais;
5) uma lista de ações com dados pessoais para os quais o consentimento é dado, uma descrição geral dos métodos de processamento de Dados Pessoais utilizados pelo controlador;
6) o período durante o qual o consentimento é válido, bem como o procedimento para sua retirada.
5. Para o processamento de dados pessoais contidos no consentimento por escrito do sujeito para o processamento de seus dados pessoais, não é necessário consentimento adicional.
6. Em caso de incapacidade do titular dos dados pessoais, o consentimento para o processamento de seus dados pessoais é dado por escrito pelo representante legal do titular dos dados pessoais.
7. No caso da morte do titular dos dados pessoais, o consentimento para o processamento de seus dados pessoais é dado por escrito pelos herdeiros do titular dos dados pessoais, a menos que tal consentimento tenha sido dado pelo titular dos dados pessoais durante sua vida.
Artigo 10. Categorias especiais de dados pessoais
1. O processamento de categorias especiais de dados pessoais relacionados a raça, nacionalidade, opiniões políticas, crenças religiosas ou filosóficas, estado de saúde, vida íntima não é permitido, exceto nos casos previstos na parte 2 deste artigo.
2. O processamento das categorias especiais de dados pessoais especificadas na parte 1 deste artigo é permitido nos casos em que:
1) o titular dos dados pessoais deu seu consentimento por escrito para o processamento de seus dados pessoais;
2) os dados pessoais estão disponíveis ao público;
2.1) o processamento de dados pessoais é necessário em conexão com a implementação dos tratados internacionais de readmissão da Federação Russa;
2.2) o processamento de dados pessoais é realizado de acordo com a Lei Federal de 25 de janeiro de 2002 N 8-FZ " Sobre o censo de toda a Rússia";
3) dados pessoais referem-se ao estado de saúde do requerente de dados pessoais e o seu tratamento for necessário para proteger a vida, a saúde ou a outros interesses vitais a vida, saúde ou outros interesses vitais de outras pessoas e a obtenção de consentimento do sujeito dados pessoais impossível;
4) o tratamento de dados pessoais é realizado no setor de saúde para fins de prevenção, a fim de estabelecer um diagnóstico médico, prestação de serviços médicos e serviços de saúde, serviços sociais, desde que o tratamento de dados pessoais é realizado o rosto, um profissional que lidam com o médico de operação e de dívida em conformidade com a legislação da Federação Russa de manter o mistério врачебную;
5) tratamento de dados pessoais de membros (participantes) público associação ou organização religiosa implementados relevantes pública a associação ou organização religiosa, aplicáveis em conformidade com a legislação da Federação Da rússia, para atingir os fins legais, previstos seus incorporação de documentos, desde que os dados pessoais não serão divulgados sem o consentimento por escrito de entidades de dados pessoais;
6) o processamento de dados pessoais é necessário em conexão com o exercício da Justiça;
7) o processamento de dados pessoais é realizado de acordo com a legislação da Federação Russa sobre segurança, atividades operacionais de busca e também de acordo com a legislação executiva criminal da Federação Russa.
3. Tratamento de dados pessoais sobre os antecedentes criminais pode ser realizada órgãos estaduais ou municipais, de órgãos no âmbito da autoridade, dada a eles de acordo com a legislação Da Federação, bem como em outras entidades, nos casos e na ordem em que são definidos de acordo com as leis federais.
4. O processamento de categorias especiais de dados pessoais realizados nos casos previstos nas partes 2 e 3 deste artigo deve ser interrompido imediatamente se os motivos pelos quais o processamento foi realizado forem eliminados.
Artigo 11. Dados pessoais biométricos
1. As informações que caracterizam as características fisiológicas de uma pessoa e com base nas quais é possível estabelecer sua identidade (dados pessoais biométricos) só podem ser processadas se houver consentimento por escrito do titular dos dados pessoais, exceto nos casos previstos na parte 2 deste artigo.
2. O tratamento biométricos dos dados pessoais pode ser realizado sem o consentimento da entidade de dados pessoais em conexão com a implementação de tratados internacionais da Federação Da rússia sobre a readmissão, com a aplicação da justiça, bem como nos casos previstos pela legislação da Federação Russa sobre a segurança, a legislação da Federação Russa sobre prontamente-pesquisa de atividade, a legislação Da Federação russa sobre o serviço público, de direito penal-executivo da legislação da Federação Russa, a legislação da Federação Russa sobre o procedimento para deixar a Federação Russa e entrar na Federação Russa.
Artigo 12. Transferência transfronteiriça de dados pessoais
1. Antes do início da transferência transfronteiriça de dados pessoais, o operador é obrigado a garantir que o Estado estrangeiro, no território do qual os dados pessoais são transferidos, garanta a proteção adequada dos direitos dos titulares dos dados pessoais.
2. Transferência internacional de dados pessoais, em que os espaços de estados estrangeiros, garantindo a proteção adequada dos direitos dos sujeitos de dados pessoais, em conformidade com a lei Federal e pode ser proibida ou restringida a fim de proteger os fundamentos do sistema constitucional da Federação Da rússia, da moralidade, da saúde, dos direitos e interesses legítimos dos cidadãos, a defesa nacional e a segurança do estado.
3. A transferência transfronteiriça de dados pessoais no território de países estrangeiros que não garantam a proteção adequada dos direitos dos titulares dos dados pessoais pode ser realizada nos casos de:
1) Ter o consentimento por escrito do titular dos dados pessoais;
2) estipulado pelos Tratados Internacionais da Federação Russa sobre questões de emissão de vistos, tratados internacionais da Federação Russa sobre a prestação de assistência jurídica em casos civis, familiares e criminais, bem como tratados internacionais da Federação Russa sobre readmissão;
3) previsto pelas leis federais, se necessário, a fim de proteger os fundamentos do sistema constitucional da Federação Russa, garantir a defesa do país e a segurança do estado;
4) execução do Contrato, do qual a parte é o titular dos dados pessoais;
5) proteger a vida, a saúde, outros interesses vitais do titular dos dados ou de outras pessoas se não for possível obter o consentimento por escrito do titular dos dados.
Artigo 13. Características do processamento de dados pessoais em sistemas de informação de dados pessoais estaduais ou municipais
1. As autoridades públicas, as autoridades municipais criam dentro de seus poderes estabelecidos de acordo com as leis federais, sistemas de informação estaduais ou municipais de dados pessoais.
2. As leis federais podem ser instalados recursos de contabilidade de dados pessoais estaduais e municipais de sistemas de informação de dados pessoais, incluindo o uso de diferentes formas de designar o pessoal dados pessoais contidos no respectivo estado ou município sistema de informação de dados pessoais, específico para a entidade de dados pessoais.
3. Os direitos e liberdades de uma pessoa e de um cidadão não podem ser limitados por motivos relacionados ao uso de vários métodos de processamento de dados pessoais ou à designação da Afiliação de dados pessoais contidos nos sistemas de informações estaduais ou municipais de dados pessoais ao titular específico dos dados pessoais. Não é permitido o uso de métodos que ofendam os sentimentos dos cidadãos ou degradam a dignidade humana de designar a afiliação de dados pessoais contidos nos sistemas de informação estaduais ou municipais de dados pessoais a um sujeito específico de dados pessoais.
4. A fim de garantir o exercício dos direitos dos titulares de dados pessoais em conexão com o processamento de seus dados pessoais nos sistemas de informação estaduais ou municipais de dados pessoais, pode ser criado um registro estadual da população, cujo status legal e procedimento de trabalho são estabelecidos pela lei federal.
Capítulo 3. DIREITOS DO TITULAR DOS DADOS
Artigo 14. O direito do titular dos dados de acessar seus dados pessoais
1. O titular dos dados pessoais tem o direito de receber informações sobre o operador, sua localização, a presença do controlador de dados pessoais relacionados ao titular dos dados pessoais em questão, bem como a familiarização com esses dados pessoais, exceto nos casos previstos na parte 5 deste artigo. O titular dos dados pessoais tem o direito de exigir que o controlador esclareça, bloqueie ou destrua seus dados pessoais se os dados pessoais estiverem incompletos, desatualizados, imprecisos, obtidos ilegalmente ou não forem necessários para o propósito declarado do processamento e tome as medidas legais para proteger seus direitos.
2. As informações sobre a disponibilidade de dados pessoais devem ser fornecidas ao titular dos dados pessoais de forma acessível pelo controlador e não devem conter dados pessoais relacionados a outros titulares de dados pessoais.
3. O acesso aos seus dados pessoais é concedido ao titular dos dados pessoais ou ao seu representante legal pelo operador quando contactado ou quando solicitado pelo titular dos dados ou pelo seu representante legal. A solicitação deve conter o número principal do documento de identidade do requerente de dados pessoais ou do seu representante legal, informações sobre a data de emissão do documento e выдавшем seu órgão e собственноручную assinatura do requerente de dados pessoais ou do seu representante legal. O pedido pode ser enviado eletronicamente e assinado com uma assinatura digital eletrônica de acordo com a legislação da Federação Russa.
4. O titular dos dados pessoais tem o direito de receber, ao entrar em contato ou ao receber uma solicitação de informações relacionadas ao processamento de seus dados pessoais, incluindo aqueles que contêm:
1) confirmação do fato do processamento de dados pessoais pelo controlador, bem como a finalidade desse processamento;
2) métodos de processamento de Dados Pessoais utilizados pelo operador;
3) informações sobre as pessoas que têm acesso aos dados pessoais ou a quem esse acesso pode ser concedido;
4) a lista de dados pessoais processados e a fonte de seu recebimento;
5) períodos de processamento de dados pessoais, incluindo períodos de retenção;
6) informações sobre as consequências legais para o titular dos dados podem implicar o processamento dos seus dados pessoais.
5. O direito do titular dos dados de acessar seus dados pessoais é limitado se:
1) o processamento de dados pessoais, incluindo dados pessoais obtidos como resultado de atividades operacionais de busca, contra-inteligência e inteligência, é realizado para fins de defesa do país, segurança do estado e aplicação da lei;
2) o processamento de dados pessoais é realizado pelas autoridades que detiveram o titular dos dados pessoais por suspeita de um crime, ou que indiciaram o titular dos dados pessoais em um caso criminal ou aplicaram uma medida preventiva ao titular dos dados pessoais antes da acusação, com exceção dos casos previstos pela legislação processual criminal da Federação Russa, se for permitido familiarizar o suspeito;
3) o fornecimento de dados pessoais viola os direitos e liberdades constitucionais de outras pessoas.
Artigo 15. Os direitos dos titulares dos dados no processamento dos seus dados pessoais para fins de promoção de bens, obras, serviços no mercado, bem como para fins de agitação política
1. O tratamento de dados pessoais para fins de promoção de bens e serviços no mercado através da implementação de um contato direto com o consumidor potencial através de meios de comunicação, também para fins de agitação política só é permitida, desde o prévio consentimento da entidade de dados pessoais. O referido processamento de dados pessoais é considerado realizado sem o consentimento prévio do titular dos dados pessoais, a menos que o operador prove que tal consentimento foi obtido.
2. O operador é obrigado a interromper imediatamente, a pedido do titular dos dados pessoais, o processamento de seus dados pessoais, conforme especificado na parte 1 deste artigo.
Artigo 16. Direitos dos titulares de dados ao tomar decisões com base no processamento exclusivamente automatizado de seus dados pessoais
1. É proibida a tomada de decisões com base exclusivamente no processamento automatizado de dados pessoais que gerem consequências legais em relação ao titular dos dados pessoais ou que de outra forma afetem seus direitos e interesses legítimos, exceto conforme previsto na parte 2 deste artigo.
2. Uma decisão que cause consequências legais em relação ao titular dos dados ou que afete de outra forma seus direitos e interesses legítimos pode ser tomada com base apenas no processamento automatizado de seus dados pessoais, apenas se houver consentimento por escrito do titular dos dados ou nos casos previstos em leis federais que também estabelecem medidas para garantir o cumprimento dos direitos
3. O operador é obrigado a esclarecer à entidade de dados pessoais, o procedimento de tomada de decisões baseadas exclusivamente ao tratamento automatizado de dados pessoais e as possíveis consequências legais de uma tal decisão, conceder a oportunidade de apresentar objeção contra tal decisão, bem como para esclarecer a ordem de proteção do titular de dados pessoais, dos seus direitos e interesses legítimos.
4. O operador é obrigado a rever a objeção especificada na parte 3 deste artigo no prazo de sete dias úteis a partir da data de sua recepção e notificar o titular dos dados pessoais sobre os resultados da consideração de tal objeção.
Artigo 17. Direito de recorrer de ações ou omissões do operador
1. Se o sujeito dados pessoais acredita que o operador realiza o tratamento de dados pessoais e a violação dos requisitos da presente lei ou de outra forma viola os seus direitos e liberdade, a entidade de dados pessoais tem o direito de recorrer da ação ou omissão do operador, a autoridade de protecção de direitos de entidades de dados pessoais ou judicial.
2. O titular dos dados tem o direito de proteger seus direitos e interesses legítimos, incluindo indenização por danos e / ou danos morais em processos judiciais.
Capítulo 4. DEVERES DO OPERADOR
Artigo 18. Responsabilidades do controlador na coleta de dados pessoais
1. Ao coletar dados pessoais, o operador é obrigado a fornecer ao titular dos dados pessoais, a seu pedido, as informações previstas na parte 4 do artigo 14 desta Lei Federal.
2. Se a obrigação de fornecer dados pessoais for estabelecida por lei federal, o operador é obrigado a esclarecer ao titular dos dados as consequências legais da recusa em fornecer seus dados pessoais.
3. Se as informações foram obtidas não a partir do titular de dados pessoais, exceto se as informações foram fornecidas ao operador com base na lei federal, ou se os dados pessoais são públicos, operador antes de iniciar o processamento de dados pessoais deve fornecer à entidade de dados pessoais a seguinte informação:
1) nome (sobrenome, nome, patronímico) e endereço do operador ou seu representante;
2) finalidade do processamento de dados pessoais e sua base legal;
3) usuários pretendidos de dados pessoais;
4) os direitos estabelecidos por esta Lei Federal do titular dos dados pessoais.
Artigo 19. Medidas para garantir a segurança dos dados pessoais durante o processamento
1. O responsável pelo tratamento de dados pessoais é obrigado a tomar as medidas organizacionais e técnicas necessárias para proteger os dados pessoais contra acesso ilegal ou acidental, destruição, Alteração, bloqueio, cópia, distribuição de dados pessoais e contra outras ações ilegais.
2. O governo da Federação Da rússia estabelece os requisitos de segurança de dados pessoais durante o seu processamento em sistemas de informação de dados pessoais, os requisitos de material de objetos biométricos de dados pessoais e tecnológica de armazenamento de tais dados para fora dos sistemas de informação de dados pessoais.
3. O controle e supervisão do cumprimento dos requisitos estabelecidos pelo Governo da Federação Russa de acordo com a parte 2 deste artigo são realizados pelo órgão executivo federal, autorizado no campo da segurança, e pelo órgão executivo federal, autorizado no campo da oposição à inteligência técnica e proteção técnica da informação, dentro de sua autoridade e sem o direito de se familiarizar com os
4. O uso e a retenção de biometria dados pessoais, fora os sistemas de informação de dados pessoais somente podem ser tais materiais, suportes de informação e com a aplicação de tal tecnologia para o seu armazenamento, que prevê a proteção desses dados a partir de indevida ou acidental de acesso, destruição, alteração, bloqueio, cópia, distribuição.
Artigo 20. Obrigações do operador ao entrar em contato ou ao receber uma solicitação do titular dos dados ou de seu representante legal, bem como de uma autoridade autorizada para a proteção dos direitos dos titulares dos dados
1. O operador é obrigado, conforme previsto no artigo 14 desta Lei Federal, a informar o titular dos dados pessoais ou seu representante legal sobre a disponibilidade de dados pessoais relacionados ao titular dos dados pessoais em questão e a fornecer a oportunidade de se familiarizar com eles quando o titular dos dados ou seu representante legal entrar em contato ou dentro de dez
2. No caso de uma recusa em fornecer ao titular dos dados pessoais ou ao seu representante legal ao entrar em contato ou ao receber uma solicitação do titular dos dados pessoais ou do seu representante legal para obter informações sobre a disponibilidade de dados pessoais sobre o titular dos dados pessoais em questão, bem como tais dados pessoais, o operador deve fornecer uma resposta, não excedendo sete dias úteis a partir da data em que o titular dos dados ou seu representante legal entrou em contato ou a partir da data em que o titular dos dados ou seu representante legal foi solicitado.
3. O operador é obrigado a fornecer gratuitamente ao titular dos dados pessoais ou ao seu representante legal a oportunidade de se familiarizar com os dados pessoais relacionados ao titular dos dados pessoais em questão, bem como fazer as alterações necessárias, destruir ou bloquear os dados pessoais relevantes para o fornecimento pelo titular dos dados pessoais ou seu representante legal de informações que, obtidos ilegalmente ou não são necessários para a finalidade declarada do processamento. Sobre as alterações e medidas tomadas, o operador deve notificar o titular dos dados ou seu representante legal e terceiros aos quais os dados pessoais desse sujeito foram transferidos.
4. O operador é obrigado a informar à autoridade de protecção de direitos de entidades de dados pessoais a seu pedido, as informações necessárias para a execução de atividades com o referido órgão, no prazo de sete dias úteis a partir da data de recebimento de tal solicitação.
Artigo 21. Obrigações do operador para corrigir violações legais cometidas no processamento de dados pessoais, bem como para esclarecer, bloquear e destruir dados pessoais
1. No caso de identificação de dados pessoais incorretos ou ações ilegais com eles pelo operador, quando contactado ou solicitado pelo titular dos dados pessoais ou pelo seu representante legal ou pelo organismo autorizado para a proteção dos direitos dos titulares dos dados pessoais, o operador é obrigado a bloquear os dados pessoais relativos ao titular dos dados pessoais relevantes a partir do momento
2. Em caso de confirmação de um fato недостоверности dados pessoais do operador com base nos documentos apresentados pelo requerente de dados pessoais ou seu representante legal ou autoridade de protecção de direitos de entidades de dados pessoais, ou outros documentos necessários a obrigação de esclarecer os dados pessoais e remova o bloqueio.
Artigo 22. Aviso sobre o processamento de dados pessoais
1. O operador antes de iniciar o processamento de dados pessoais é obrigado a notificar a autoridade de protecção de direitos de assuntos pessoais, dados sobre sua intenção de realizar o tratamento de dados pessoais, exceto para os casos previstos no parágrafo 2 do presente artigo.
2. O operador tem o direito de realizar o processamento de dados pessoais sem aviso prévio à autoridade autorizada para a proteção dos direitos dos titulares dos dados pessoais:
1) Dados Pessoais relacionados aos titulares, que estão associados a uma relação de trabalho com o operador;
2) obtidos pelo operador em conexão com a celebração de contrato, parte do qual é sujeito dados pessoais, se os dados pessoais não serão distribuídas, e não são fornecidos a terceiros sem o consentimento da entidade de dados pessoais e usa o operador exclusivamente para execução do referido contrato e os contratos com a entidade de dados pessoais;
3) relativas aos membros (os participantes) público associação ou organização religiosa e das respectivas pública a associação ou organização religiosa, aplicáveis em conformidade com a legislação da Federação Da rússia, para atingir os fins legais, previstos seus incorporação de documentos, desde que os dados pessoais não serão divulgados sem o consentimento por escrito de entidades de dados pessoais;
4) Dados Pessoais publicamente disponíveis;
5) incluir apenas os sobrenomes, nomes e patronímicos dos titulares dos dados pessoais;
6) necessário para uma única passagem do titular dos dados pessoais para o território em que o operador está localizado ou para outros fins semelhantes;
7) incluídos no sistema de informação de dados pessoais, tendo, em conformidade com as leis federais status federais automatizado de sistemas de informação, bem como no governo de sistemas de informação de dados pessoais, criados a fim de proteger a segurança do estado e da ordem pública;
8) processados sem o uso de ferramentas de automação de acordo com as leis federais ou em outras regulamentos Da Federação de definição de requisitos de segurança de dados pessoais durante o seu processamento e a observância dos direitos dos sujeitos de dados pessoais.
3. A notificação prevista na parte 1 deste artigo deve ser enviada por escrito e assinada por uma pessoa autorizada ou enviada eletronicamente e assinada com uma assinatura digital eletrônica de acordo com a legislação da Federação Russa. O aviso deve incluir as seguintes informações:
1) nome (sobrenome, nome, patronímico), endereço do operador;
2) finalidade do processamento de dados pessoais;
3) categorias de dados pessoais;
4) categorias de sujeitos cujos dados pessoais são processados;
5) base legal para o processamento de dados pessoais;
6) uma lista de ações com dados pessoais, uma descrição geral dos métodos utilizados pelo controlador para processar dados pessoais;
7) uma descrição das medidas que o operador se compromete a implementar no processamento de dados pessoais para garantir a segurança dos dados pessoais durante o processamento;
8) Data de início do processamento de dados pessoais;
9) termo ou condição para o término do processamento de dados pessoais.
4. A autoridade autorizada para a proteção dos direitos dos titulares de dados, no prazo de trinta dias a contar da data de recebimento da notificação sobre o processamento de dados pessoais, insere as informações especificadas na parte 3 deste artigo, bem como as informações sobre a data em que a notificação foi enviada ao registro do operador. As informações contidas no registro do processador, com exceção das informações sobre a segurança dos dados pessoais durante o processamento, estão disponíveis ao público.
5. O operador não pode ser cobrado em conexão com a consideração do Aviso sobre o processamento de dados pessoais pela Autoridade autorizada para a proteção dos direitos dos titulares de dados, bem como em conexão com a entrada de informações no registro do operador.
6. No caso de fornecer informações incompletas ou imprecisas especificadas na parte 3 deste artigo, a autoridade autorizada para a proteção dos direitos dos titulares de dados tem o direito de exigir que o operador esclareça as informações fornecidas antes de inseri-las no registro do operador.
7. Em caso de alteração das informações referidas na parte 3 do presente artigo, o operador deve notificar sobre mudanças comissário para a protecção de direitos de entidades de dados pessoais, no prazo de dez dias úteis a partir da data de ocorrência de tais alterações.
Capítulo 5. CONTROLE E SUPERVISÃO DO PROCESSAMENTO DE DADOS PESSOAIS. RESPONSABILIDADE POR VIOLAÇÃO DESTA LEI FEDERAL
Artigo 23. Autoridade autorizada para a proteção dos direitos dos titulares dos dados
1. A autoridade autorizada para a proteção dos direitos dos titulares de dados, encarregada de supervisionar e supervisionar a conformidade do processamento de dados pessoais com os requisitos desta Lei Federal, é a autoridade executiva federal que atua como Autoridade de controle e Supervisão no campo das tecnologias da informação e comunicações.
2. A autoridade autorizada para a proteção dos direitos dos titulares dos dados pessoais considera os recursos do titular dos dados pessoais sobre a conformidade do conteúdo dos dados pessoais e os métodos de processamento para os fins de seu processamento e toma a decisão apropriada.
3. A autoridade autorizada para a proteção dos direitos dos titulares dos dados tem o direito de:
1) solicitar às pessoas físicas ou jurídicas as informações necessárias para exercer sua autoridade e receber essas informações GRATUITAMENTE;
2) Verificar as informações contidas no Aviso de processamento de dados pessoais ou envolver outras autoridades governamentais dentro de sua autoridade para realizar tal verificação;
3) exigir que o operador esclareça, bloqueie ou destrua dados pessoais incorretos ou obtidos ilegalmente;
4) tomar, no procedimento estabelecido pela legislação da Federação Russa, medidas para suspender ou interromper o processamento de dados pessoais realizados em violação dos requisitos desta Lei Federal;
5) apresentar ações judiciais em defesa dos direitos dos titulares dos dados e representar os interesses dos titulares dos dados em tribunal;
6) orientar o comunicado do órgão, a equipa de licenciamento de atividades do operador, para considerar a adoção de medidas de invalidar ou anular a licença apropriada na forma da legislação Federação Da rússia ordem, se a condição de licença para o exercício de tais atividades é a proibição de transmissão de dados pessoais a terceiros sem o consentimento por escrito da entidade de dados pessoais;
7) enviar materiais ao ministério público e outras agências policiais para resolver a questão da instauração de processos criminais com base em crimes relacionados à violação dos direitos dos titulares de dados pessoais, de acordo com a jurisdição;
8) fazer propostas ao Governo da Federação Russa para melhorar a regulamentação legal normativa da proteção dos direitos dos titulares de dados pessoais;
9) responsabilizar as pessoas responsáveis pela violação desta Lei Federal.
4. No que diz respeito aos dados pessoais que se tornaram conhecidos pela Autoridade autorizada para a proteção dos direitos dos titulares de dados no curso de suas atividades, a confidencialidade dos dados pessoais deve ser assegurada.
5. A autoridade autorizada para a proteção dos direitos dos titulares dos dados é obrigada:
1) organizar, de acordo com os requisitos desta Lei Federal e de outras leis federais, a proteção dos direitos dos titulares de dados;
2) lidar com reclamações e apelos de cidadãos ou pessoas jurídicas sobre questões relacionadas ao processamento de dados pessoais e tomar, dentro de sua autoridade, decisões sobre os resultados do tratamento dessas queixas e apelos;
3) manter um registro de operadores;
4) implementar medidas destinadas a melhorar a proteção dos direitos dos titulares dos dados pessoais;
5) tomar, na ordem estabelecida pela legislação da Federação Russa, a pedido da autoridade executiva Federal, autorizada no campo da segurança, ou da autoridade executiva Federal, autorizada no campo da oposição à inteligência técnica e proteção técnica da informação, medidas para suspender ou interromper o processamento de dados pessoais;
6) informar as autoridades públicas, bem como os titulares dos dados pessoais sobre os seus apelos ou pedidos sobre o estado das coisas no campo da proteção dos direitos dos titulares dos dados;
7) cumprir outras obrigações previstas pela legislação da Federação Russa.
6. As decisões da Autoridade autorizada para a proteção dos direitos dos titulares dos dados pessoais podem ser apeladas em tribunal.
7. A autoridade autorizada para a proteção dos direitos dos titulares de dados envia anualmente um relatório sobre suas atividades ao Presidente da Federação russa, ao Governo da Federação Russa e à Assembléia Federal da Federação Russa. Este relatório está sujeito a publicação na mídia.
8. O financiamento da Autoridade autorizada para a proteção dos direitos dos titulares de dados é realizado com fundos do orçamento federal.
9. Sob a autoridade autorizada para a proteção dos direitos dos titulares de dados pessoais, um Conselho Consultivo é criado em bases públicas, cujo procedimento de formação e procedimento de atividade é determinado pela Autoridade autorizada para a proteção dos direitos dos titulares de dados pessoais.
Artigo 24. Responsabilidade por violação desta Lei Federal
As pessoas culpadas de violar os requisitos desta Lei Federal assumem responsabilidades civis, criminais, administrativas, disciplinares e outras previstas pela legislação da Federação Russa.
Capítulo 6. DISPOSIÇÕES FINAIS
Artigo 25. Disposições finais
1. Esta Lei Federal entra em vigor após cento e oitenta dias após o dia de sua publicação oficial.
2. Após o dia em que esta Lei Federal entra em vigor, o processamento de dados pessoais incluídos nos sistemas de informação de dados pessoais antes do dia em que entra em vigor é realizado de acordo com esta Lei Federal.
3. Os sistemas de informação de dados pessoais criados antes de 1º de janeiro de 2010 devem estar em conformidade com os requisitos desta Lei Federal até 1º de janeiro de 2011, o mais tardar.
4. Os operadores que processam dados pessoais antes da data em que esta Lei Federal entra em vigor e continuam a processá-los após a data em que ela entra em vigor devem enviar à autoridade autorizada de proteção dos direitos dos titulares dos dados, exceto conforme previsto na parte 2 do artigo 22 desta Lei Federal, um aviso previsto na parte 3 do artigo 22
Presidente da Federação Russa V. Putin Moscou, Kremlin 27 Julho 2006 N 152-FZ
Original message
27 июля 2006 года N 152-ФЗ РОССИЙСКАЯ ФЕДЕРАЦИЯ ФЕДЕРАЛЬНЫЙ ЗАКОН
О ПЕРСОНАЛЬНЫХ ДАННЫХ
Принят Государственной Думой 8 июля 2006 года, Одобрен Советом Федерации 14 июля 2006 года
(в ред. Федеральных законов от 25.11.2009 N 266-ФЗ,от 27.12.2009 N 363-ФЗ, от 28.06.2010 N 123-ФЗ,
от 27.07.2010 N 204-ФЗ)
Глава 1. ОБЩИЕ ПОЛОЖЕНИЯ
Статья 1. Сфера действия настоящего Федерального закона
1. Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами (далее - муниципальные органы), юридическими лицами, физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.
2. Действие настоящего Федерального закона не распространяется на отношения, возникающие при:
1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;
2) организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;
3) обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством Российской Федерации в связи с деятельностью физического лица в качестве индивидуального предпринимателя;
4) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну;
5) предоставлении уполномоченными органами информации о деятельности судов в Российской Федерации в соответствии с Федеральным законом от 22 декабря 2008 года N 262-ФЗ "Об обеспечении доступа к информации о деятельности судов в Российской Федерации".
Статья 2. Цель настоящего Федерального закона
Целью настоящего Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Статья 3. Основные понятия, используемые в настоящем Федеральном законе
В целях настоящего Федерального закона используются следующие основные понятия:
1) персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;
2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных;
3) обработка персональных данных - действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных;
4) распространение персональных данных - действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;
5) использование персональных данных - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц;
6) блокирование персональных данных - временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи;
7) уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных;
8) обезличивание персональных данных - действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных;
9) информационная система персональных данных - информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;
10) конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания;
11) трансграничная передача персональных данных - передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства;
12) общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.
Статья 4. Законодательство Российской Федерации в области персональных данных
1. Законодательство Российской Федерации в области персональных данных основывается на Конституции Российской Федерации и международных договорах Российской Федерации и состоит из настоящего Федерального закона и других определяющих случаи и особенности обработки персональных данных федеральных законов.
2. На основании и во исполнение федеральных законов государственные органы в пределах своих полномочий могут принимать нормативные правовые акты по отдельным вопросам, касающимся обработки персональных данных. Нормативные правовые акты по отдельным вопросам, касающимся обработки персональных данных, не могут содержать положения, ограничивающие права субъектов персональных данных. Указанные нормативные правовые акты подлежат официальному опубликованию, за исключением нормативных правовых актов или отдельных положений таких нормативных правовых актов, содержащих сведения, доступ к которым ограничен федеральными законами.
3. Особенности обработки персональных данных, осуществляемой без использования средств автоматизации, могут быть установлены федеральными законами и иными нормативными правовыми актами Российской Федерации с учетом положений настоящего Федерального закона.
4. Если международным договором Российской Федерации установлены иные правила, чем те, которые предусмотрены настоящим Федеральным законом, применяются правила международного договора.
Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Статья 5. Принципы обработки персональных данных
1. Обработка персональных данных должна осуществляться на основе принципов:
1) законности целей и способов обработки персональных данных и добросовестности;
2) соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора;
3) соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;
4) достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
5) недопустимости объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных.
2. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
Статья 6. Условия обработки персональных данных
1. Обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Согласия субъекта персональных данных, предусмотренного частью 1 настоящей статьи, не требуется в следующих случаях:
1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
1.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
3) обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
4) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
5) обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
6) обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
7) осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.
3. Особенности обработки специальных категорий персональных данных, а также биометрических персональных данных устанавливаются соответственно статьями 10 и 11 настоящего Федерального закона.
4. В случае, если оператор на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.
Статья 7. Конфиденциальность персональных данных
1. Операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Обеспечения конфиденциальности персональных данных не требуется:
1) в случае обезличивания персональных данных;
2) в отношении общедоступных персональных данных.
Статья 8. Общедоступные источники персональных данных
1. В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, предоставленные субъектом персональных данных.
2. Сведения о субъекте персональных данных могут быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.
Статья 9. Согласие субъекта персональных данных на обработку своих персональных данных
1. Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе, за исключением случаев, предусмотренных частью 2 настоящей статьи. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.
2. Настоящим Федеральным законом и другими федеральными законами предусматриваются случаи обязательного предоставления субъектом персональных данных своих персональных данных в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.
3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных, а в случае обработки общедоступных персональных данных обязанность доказывания того, что обрабатываемые персональные данные являются общедоступными, возлагается на оператора.
4. В случаях, предусмотренных настоящим Федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Письменное согласие субъекта персональных данных на обработку своих персональных данных должно включать в себя:
1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2) наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;
3) цель обработки персональных данных;
4) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
5) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
6) срок, в течение которого действует согласие, а также порядок его отзыва.
5. Для обработки персональных данных, содержащихся в согласии в письменной форме субъекта на обработку его персональных данных, дополнительного согласия не требуется.
6. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает в письменной форме законный представитель субъекта персональных данных.
7. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают в письменной форме наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
Статья 10. Специальные категории персональных данных
1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если:
1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
2) персональные данные являются общедоступными;
2.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
2.2) обработка персональных данных осуществляется в соответствии с Федеральным законом от 25 января 2002 года N 8-ФЗ "О Всероссийской переписи населения";
3) персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия субъекта персональных данных невозможно;
4) обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
5) обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
6) обработка персональных данных необходима в связи с осуществлением правосудия;
7) обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством Российской Федерации.
3. Обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.
4. Обработка специальных категорий персональных данных, осуществлявшаяся в случаях, предусмотренных частями 2 и 3 настоящей статьи, должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка.
Статья 11. Биометрические персональные данные
1. Сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность (биометрические персональные данные), могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия, а также в случаях, предусмотренных законодательством Российской Федерации о безопасности, законодательством Российской Федерации об оперативно-розыскной деятельности, законодательством Российской Федерации о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию.
Статья 12. Трансграничная передача персональных данных
1. До начала осуществления трансграничной передачи персональных данных оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных.
2. Трансграничная передача персональных данных на территории иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в соответствии с настоящим Федеральным законом и может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства.
3. Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:
1) наличия согласия в письменной форме субъекта персональных данных;
2) предусмотренных международными договорами Российской Федерации по вопросам выдачи виз, международными договорами Российской Федерации об оказании правовой помощи по гражданским, семейным и уголовным делам, а также международными договорами Российской Федерации о реадмиссии;
3) предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя Российской Федерации, обеспечения обороны страны и безопасности государства;
4) исполнения договора, стороной которого является субъект персональных данных;
5) защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта персональных данных.
Статья 13. Особенности обработки персональных данных в государственных или муниципальных информационных системах персональных данных
1. Государственные органы, муниципальные органы создают в пределах своих полномочий, установленных в соответствии с федеральными законами, государственные или муниципальные информационные системы персональных данных.
2. Федеральными законами могут быть установлены особенности учета персональных данных в государственных и муниципальных информационных системах персональных данных, в том числе использование различных способов обозначения принадлежности персональных данных, содержащихся в соответствующей государственной или муниципальной информационной системе персональных данных, конкретному субъекту персональных данных.
3. Права и свободы человека и гражданина не могут быть ограничены по мотивам, связанным с использованием различных способов обработки персональных данных или обозначения принадлежности персональных данных, содержащихся в государственных или муниципальных информационных системах персональных данных, конкретному субъекту персональных данных. Не допускается использование оскорбляющих чувства граждан или унижающих человеческое достоинство способов обозначения принадлежности персональных данных, содержащихся в государственных или муниципальных информационных системах персональных данных, конкретному субъекту персональных данных.
4. В целях обеспечения реализации прав субъектов персональных данных в связи с обработкой их персональных данных в государственных или муниципальных информационных системах персональных данных может быть создан государственный регистр населения, правовой статус которого и порядок работы с которым устанавливаются федеральным законом.
Глава 3. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
Статья 14. Право субъекта персональных данных на доступ к своим персональным данным
1. Субъект персональных данных имеет право на получение сведений об операторе, о месте его нахождения, о наличии у оператора персональных данных, относящихся к соответствующему субъекту персональных данных, а также на ознакомление с такими персональными данными, за исключением случаев, предусмотренных частью 5 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
2. Сведения о наличии персональных данных должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.
3. Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю оператором при обращении либо при получении запроса субъекта персональных данных или его законного представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись субъекта персональных данных или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации.
4. Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных оператором, а также цель такой обработки;
2) способы обработки персональных данных, применяемые оператором;
3) сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
4) перечень обрабатываемых персональных данных и источник их получения;
5) сроки обработки персональных данных, в том числе сроки их хранения;
6) сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.
5. Право субъекта персональных данных на доступ к своим персональным данным ограничивается в случае, если:
1) обработка персональных данных, в том числе персональных данных, полученных в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;
2) обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными данными;
3) предоставление персональных данных нарушает конституционные права и свободы других лиц.
Статья 15. Права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации
1. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено.
2. Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в части 1 настоящей статьи.
Статья 16. Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных
1. Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.
3. Оператор обязан разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.
4. Оператор обязан рассмотреть возражение, указанное в части 3 настоящей статьи, в течение семи рабочих дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения.
Статья 17. Право на обжалование действий или бездействия оператора
1. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
Глава 4. ОБЯЗАННОСТИ ОПЕРАТОРА
Статья 18. Обязанности оператора при сборе персональных данных
1. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 4 статьи 14 настоящего Федерального закона.
2. Если обязанность предоставления персональных данных установлена федеральным законом, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные.
3. Если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены оператору на основании федерального закона или если персональные данные являются общедоступными, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
1) наименование (фамилия, имя, отчество) и адрес оператора или его представителя;
2) цель обработки персональных данных и ее правовое основание;
3) предполагаемые пользователи персональных данных;
4) установленные настоящим Федеральным законом права субъекта персональных данных.
Статья 19. Меры по обеспечению безопасности персональных данных при их обработке
1. Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
2. Правительство Российской Федерации устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.
3. Контроль и надзор за выполнением требований, установленных Правительством Российской Федерации в соответствии с частью 2 настоящей статьи, осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.
4. Использование и хранение биометрических персональных данных вне информационных систем персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения.
Статья 20. Обязанности оператора при обращении либо при получении запроса субъекта персональных данных или его законного представителя, а также уполномоченного органа по защите прав субъектов персональных данных
1. Оператор обязан в порядке, предусмотренном статьей 14 настоящего Федерального закона, сообщить субъекту персональных данных или его законному представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с ними при обращении субъекта персональных данных или его законного представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его законного представителя.
2. В случае отказа в предоставлении субъекту персональных данных или его законному представителю при обращении либо при получении запроса субъекта персональных данных или его законного представителя информации о наличии персональных данных о соответствующем субъекте персональных данных, а также таких персональных данных оператор обязан дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 5 статьи 14 настоящего Федерального закона или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий семи рабочих дней со дня обращения субъекта персональных данных или его законного представителя либо с даты получения запроса субъекта персональных данных или его законного представителя.
3. Оператор обязан безвозмездно предоставить субъекту персональных данных или его законному представителю возможность ознакомления с персональными данными, относящимися к соответствующему субъекту персональных данных, а также внести в них необходимые изменения, уничтожить или блокировать соответствующие персональные данные по предоставлении субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет оператор, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки. О внесенных изменениях и предпринятых мерах оператор обязан уведомить субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные этого субъекта были переданы.
4. Оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по его запросу информацию, необходимую для осуществления деятельности указанного органа, в течение семи рабочих дней с даты получения такого запроса.
Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, а также по уточнению, блокированию и уничтожению персональных данных
1. В случае выявления недостоверных персональных данных или неправомерных действий с ними оператора при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки.
2. В случае подтверждения факта недостоверности персональных данных оператор на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные и снять их блокирование.
3. В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанный орган.
4. В случае достижения цели обработки персональных данных оператор обязан незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральными законами, и уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанный орган.
5. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных оператор обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий трех рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и субъектом персональных данных. Об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных.
Статья 22. Уведомление об обработке персональных данных
1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;
2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
4) являющихся общедоступными персональными данными;
5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.
3. Уведомление, предусмотренное частью 1 настоящей статьи, должно быть направлено в письменной форме и подписано уполномоченным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации. Уведомление должно содержать следующие сведения:
1) наименование (фамилия, имя, отчество), адрес оператора;
2) цель обработки персональных данных;
3) категории персональных данных;
4) категории субъектов, персональные данные которых обрабатываются;
5) правовое основание обработки персональных данных;
6) перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных;
7) описание мер, которые оператор обязуется осуществлять при обработке персональных данных, по обеспечению безопасности персональных данных при их обработке;
8) дата начала обработки персональных данных;
9) срок или условие прекращения обработки персональных данных.
4. Уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с даты поступления уведомления об обработке персональных данных вносит сведения, указанные в части 3 настоящей статьи, а также сведения о дате направления указанного уведомления в реестр операторов. Сведения, содержащиеся в реестре операторов, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, являются общедоступными.
5. На оператора не могут возлагаться расходы в связи с рассмотрением уведомления об обработке персональных данных уполномоченным органом по защите прав субъектов персональных данных, а также в связи с внесением сведений в реестр операторов.
6. В случае предоставления неполных или недостоверных сведений, указанных в части 3 настоящей статьи, уполномоченный орган по защите прав субъектов персональных данных вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов.
7. В случае изменения сведений, указанных в части 3 настоящей статьи, оператор обязан уведомить об изменениях уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений.
Глава 5. КОНТРОЛЬ И НАДЗОР ЗА ОБРАБОТКОЙ ПЕРСОНАЛЬНЫХ ДАННЫХ. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ТРЕБОВАНИЙ НАСТОЯЩЕГО ФЕДЕРАЛЬНОГО ЗАКОНА
Статья 23. Уполномоченный орган по защите прав субъектов персональных данных
1. Уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.
2. Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение.
3. Уполномоченный орган по защите прав субъектов персональных данных имеет право:
1) запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию;
2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий;
3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;
4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона;
5) обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных и представлять интересы субъектов персональных данных в суде;
6) направлять заявление в орган, осуществляющий лицензирование деятельности оператора, для рассмотрения вопроса о принятии мер по приостановлению действия или аннулированию соответствующей лицензии в установленном законодательством Российской Федерации порядке, если условием лицензии на осуществление такой деятельности является запрет на передачу персональных данных третьим лицам без согласия в письменной форме субъекта персональных данных;
7) направлять в органы прокуратуры, другие правоохранительные органы материалы для решения вопроса о возбуждении уголовных дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных, в соответствии с подведомственностью;
8) вносить в Правительство Российской Федерации предложения о совершенствовании нормативного правового регулирования защиты прав субъектов персональных данных;
9) привлекать к административной ответственности лиц, виновных в нарушении настоящего Федерального закона.
4. В отношении персональных данных, ставших известными уполномоченному органу по защите прав субъектов персональных данных в ходе осуществления им своей деятельности, должна обеспечиваться конфиденциальность персональных данных.
5. Уполномоченный орган по защите прав субъектов персональных данных обязан:
1) организовывать в соответствии с требованиями настоящего Федерального закона и других федеральных законов защиту прав субъектов персональных данных;
2) рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений;
3) вести реестр операторов;
4) осуществлять меры, направленные на совершенствование защиты прав субъектов персональных данных;
5) принимать в установленном законодательством Российской Федерации порядке по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, или федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, меры по приостановлению или прекращению обработки персональных данных;
6) информировать государственные органы, а также субъектов персональных данных по их обращениям или запросам о положении дел в области защиты прав субъектов персональных данных;
7) выполнять иные предусмотренные законодательством Российской Федерации обязанности.
6. Решения уполномоченного органа по защите прав субъектов персональных данных могут быть обжалованы в судебном порядке.
7. Уполномоченный орган по защите прав субъектов персональных данных ежегодно направляет отчет о своей деятельности Президенту Российской Федерации, в Правительство Российской Федерации и Федеральное Собрание Российской Федерации. Указанный отчет подлежит опубликованию в средствах массовой информации.
8. Финансирование уполномоченного органа по защите прав субъектов персональных данных осуществляется за счет средств федерального бюджета.
9. При уполномоченном органе по защите прав субъектов персональных данных создается на общественных началах консультативный совет, порядок формирования и порядок деятельности которого определяются уполномоченным органом по защите прав субъектов персональных данных.
Статья 24. Ответственность за нарушение требований настоящего Федерального закона
Лица, виновные в нарушении требований настоящего Федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.
Глава 6. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
Статья 25. Заключительные положения
1. Настоящий Федеральный закон вступает в силу по истечении ста восьмидесяти дней после дня его официального опубликования.
2. После дня вступления в силу настоящего Федерального закона обработка персональных данных, включенных в информационные системы персональных данных до дня его вступления в силу, осуществляется в соответствии с настоящим Федеральным законом.
3. Информационные системы персональных данных, созданные до 1 января 2010 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2011 года.
4. Операторы, которые осуществляют обработку персональных данных до дня вступления в силу настоящего Федерального закона и продолжают осуществлять такую обработку после дня его вступления в силу, обязаны направить в уполномоченный орган по защите прав субъектов персональных данных, за исключением случаев, предусмотренных частью 2 статьи 22 настоящего Федерального закона, уведомление, предусмотренное частью 3 статьи 22 настоящего Федерального закона, не позднее 1 января 2008 года.
Президент Российской Федерации В.ПУТИН Москва, Кремль 27 июля 2006 года N 152-ФЗ
О ПЕРСОНАЛЬНЫХ ДАННЫХ
Принят Государственной Думой 8 июля 2006 года, Одобрен Советом Федерации 14 июля 2006 года
(в ред. Федеральных законов от 25.11.2009 N 266-ФЗ,от 27.12.2009 N 363-ФЗ, от 28.06.2010 N 123-ФЗ,
от 27.07.2010 N 204-ФЗ)
Глава 1. ОБЩИЕ ПОЛОЖЕНИЯ
Статья 1. Сфера действия настоящего Федерального закона
1. Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами (далее - государственные органы), органами местного самоуправления, не входящими в систему органов местного самоуправления муниципальными органами (далее - муниципальные органы), юридическими лицами, физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации.
2. Действие настоящего Федерального закона не распространяется на отношения, возникающие при:
1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;
2) организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;
3) обработке подлежащих включению в единый государственный реестр индивидуальных предпринимателей сведений о физических лицах, если такая обработка осуществляется в соответствии с законодательством Российской Федерации в связи с деятельностью физического лица в качестве индивидуального предпринимателя;
4) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну;
5) предоставлении уполномоченными органами информации о деятельности судов в Российской Федерации в соответствии с Федеральным законом от 22 декабря 2008 года N 262-ФЗ "Об обеспечении доступа к информации о деятельности судов в Российской Федерации".
Статья 2. Цель настоящего Федерального закона
Целью настоящего Федерального закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Статья 3. Основные понятия, используемые в настоящем Федеральном законе
В целях настоящего Федерального закона используются следующие основные понятия:
1) персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;
2) оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных;
3) обработка персональных данных - действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных;
4) распространение персональных данных - действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;
5) использование персональных данных - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц;
6) блокирование персональных данных - временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи;
7) уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных;
8) обезличивание персональных данных - действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных;
9) информационная система персональных данных - информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;
10) конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания;
11) трансграничная передача персональных данных - передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства;
12) общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.
Статья 4. Законодательство Российской Федерации в области персональных данных
1. Законодательство Российской Федерации в области персональных данных основывается на Конституции Российской Федерации и международных договорах Российской Федерации и состоит из настоящего Федерального закона и других определяющих случаи и особенности обработки персональных данных федеральных законов.
2. На основании и во исполнение федеральных законов государственные органы в пределах своих полномочий могут принимать нормативные правовые акты по отдельным вопросам, касающимся обработки персональных данных. Нормативные правовые акты по отдельным вопросам, касающимся обработки персональных данных, не могут содержать положения, ограничивающие права субъектов персональных данных. Указанные нормативные правовые акты подлежат официальному опубликованию, за исключением нормативных правовых актов или отдельных положений таких нормативных правовых актов, содержащих сведения, доступ к которым ограничен федеральными законами.
3. Особенности обработки персональных данных, осуществляемой без использования средств автоматизации, могут быть установлены федеральными законами и иными нормативными правовыми актами Российской Федерации с учетом положений настоящего Федерального закона.
4. Если международным договором Российской Федерации установлены иные правила, чем те, которые предусмотрены настоящим Федеральным законом, применяются правила международного договора.
Глава 2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Статья 5. Принципы обработки персональных данных
1. Обработка персональных данных должна осуществляться на основе принципов:
1) законности целей и способов обработки персональных данных и добросовестности;
2) соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора;
3) соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;
4) достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
5) недопустимости объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных.
2. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
Статья 6. Условия обработки персональных данных
1. Обработка персональных данных может осуществляться оператором с согласия субъектов персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Согласия субъекта персональных данных, предусмотренного частью 1 настоящей статьи, не требуется в следующих случаях:
1) обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
1.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
2) обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
3) обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
4) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
5) обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
6) обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
7) осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.
3. Особенности обработки специальных категорий персональных данных, а также биометрических персональных данных устанавливаются соответственно статьями 10 и 11 настоящего Федерального закона.
4. В случае, если оператор на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.
Статья 7. Конфиденциальность персональных данных
1. Операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Обеспечения конфиденциальности персональных данных не требуется:
1) в случае обезличивания персональных данных;
2) в отношении общедоступных персональных данных.
Статья 8. Общедоступные источники персональных данных
1. В целях информационного обеспечения могут создаваться общедоступные источники персональных данных (в том числе справочники, адресные книги). В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные персональные данные, предоставленные субъектом персональных данных.
2. Сведения о субъекте персональных данных могут быть в любое время исключены из общедоступных источников персональных данных по требованию субъекта персональных данных либо по решению суда или иных уполномоченных государственных органов.
Статья 9. Согласие субъекта персональных данных на обработку своих персональных данных
1. Субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе, за исключением случаев, предусмотренных частью 2 настоящей статьи. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных.
2. Настоящим Федеральным законом и другими федеральными законами предусматриваются случаи обязательного предоставления субъектом персональных данных своих персональных данных в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.
3. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных, а в случае обработки общедоступных персональных данных обязанность доказывания того, что обрабатываемые персональные данные являются общедоступными, возлагается на оператора.
4. В случаях, предусмотренных настоящим Федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Письменное согласие субъекта персональных данных на обработку своих персональных данных должно включать в себя:
1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2) наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;
3) цель обработки персональных данных;
4) перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
5) перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
6) срок, в течение которого действует согласие, а также порядок его отзыва.
5. Для обработки персональных данных, содержащихся в согласии в письменной форме субъекта на обработку его персональных данных, дополнительного согласия не требуется.
6. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает в письменной форме законный представитель субъекта персональных данных.
7. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают в письменной форме наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.
Статья 10. Специальные категории персональных данных
1. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Обработка указанных в части 1 настоящей статьи специальных категорий персональных данных допускается в случаях, если:
1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
2) персональные данные являются общедоступными;
2.1) обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
2.2) обработка персональных данных осуществляется в соответствии с Федеральным законом от 25 января 2002 года N 8-ФЗ "О Всероссийской переписи населения";
3) персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия субъекта персональных данных невозможно;
4) обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
5) обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
6) обработка персональных данных необходима в связи с осуществлением правосудия;
7) обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством Российской Федерации.
3. Обработка персональных данных о судимости может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных им в соответствии с законодательством Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.
4. Обработка специальных категорий персональных данных, осуществлявшаяся в случаях, предусмотренных частями 2 и 3 настоящей статьи, должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась обработка.
Статья 11. Биометрические персональные данные
1. Сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность (биометрические персональные данные), могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия, а также в случаях, предусмотренных законодательством Российской Федерации о безопасности, законодательством Российской Федерации об оперативно-розыскной деятельности, законодательством Российской Федерации о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию.
Статья 12. Трансграничная передача персональных данных
1. До начала осуществления трансграничной передачи персональных данных оператор обязан убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных.
2. Трансграничная передача персональных данных на территории иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в соответствии с настоящим Федеральным законом и может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства.
3. Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:
1) наличия согласия в письменной форме субъекта персональных данных;
2) предусмотренных международными договорами Российской Федерации по вопросам выдачи виз, международными договорами Российской Федерации об оказании правовой помощи по гражданским, семейным и уголовным делам, а также международными договорами Российской Федерации о реадмиссии;
3) предусмотренных федеральными законами, если это необходимо в целях защиты основ конституционного строя Российской Федерации, обеспечения обороны страны и безопасности государства;
4) исполнения договора, стороной которого является субъект персональных данных;
5) защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта персональных данных.
Статья 13. Особенности обработки персональных данных в государственных или муниципальных информационных системах персональных данных
1. Государственные органы, муниципальные органы создают в пределах своих полномочий, установленных в соответствии с федеральными законами, государственные или муниципальные информационные системы персональных данных.
2. Федеральными законами могут быть установлены особенности учета персональных данных в государственных и муниципальных информационных системах персональных данных, в том числе использование различных способов обозначения принадлежности персональных данных, содержащихся в соответствующей государственной или муниципальной информационной системе персональных данных, конкретному субъекту персональных данных.
3. Права и свободы человека и гражданина не могут быть ограничены по мотивам, связанным с использованием различных способов обработки персональных данных или обозначения принадлежности персональных данных, содержащихся в государственных или муниципальных информационных системах персональных данных, конкретному субъекту персональных данных. Не допускается использование оскорбляющих чувства граждан или унижающих человеческое достоинство способов обозначения принадлежности персональных данных, содержащихся в государственных или муниципальных информационных системах персональных данных, конкретному субъекту персональных данных.
4. В целях обеспечения реализации прав субъектов персональных данных в связи с обработкой их персональных данных в государственных или муниципальных информационных системах персональных данных может быть создан государственный регистр населения, правовой статус которого и порядок работы с которым устанавливаются федеральным законом.
Глава 3. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
Статья 14. Право субъекта персональных данных на доступ к своим персональным данным
1. Субъект персональных данных имеет право на получение сведений об операторе, о месте его нахождения, о наличии у оператора персональных данных, относящихся к соответствующему субъекту персональных данных, а также на ознакомление с такими персональными данными, за исключением случаев, предусмотренных частью 5 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
2. Сведения о наличии персональных данных должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.
3. Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю оператором при обращении либо при получении запроса субъекта персональных данных или его законного представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись субъекта персональных данных или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации.
4. Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных оператором, а также цель такой обработки;
2) способы обработки персональных данных, применяемые оператором;
3) сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
4) перечень обрабатываемых персональных данных и источник их получения;
5) сроки обработки персональных данных, в том числе сроки их хранения;
6) сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.
5. Право субъекта персональных данных на доступ к своим персональным данным ограничивается в случае, если:
1) обработка персональных данных, в том числе персональных данных, полученных в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;
2) обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными данными;
3) предоставление персональных данных нарушает конституционные права и свободы других лиц.
Статья 15. Права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации
1. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено.
2. Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в части 1 настоящей статьи.
Статья 16. Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных
1. Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.
3. Оператор обязан разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.
4. Оператор обязан рассмотреть возражение, указанное в части 3 настоящей статьи, в течение семи рабочих дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения.
Статья 17. Право на обжалование действий или бездействия оператора
1. Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
Глава 4. ОБЯЗАННОСТИ ОПЕРАТОРА
Статья 18. Обязанности оператора при сборе персональных данных
1. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 4 статьи 14 настоящего Федерального закона.
2. Если обязанность предоставления персональных данных установлена федеральным законом, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные.
3. Если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены оператору на основании федерального закона или если персональные данные являются общедоступными, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
1) наименование (фамилия, имя, отчество) и адрес оператора или его представителя;
2) цель обработки персональных данных и ее правовое основание;
3) предполагаемые пользователи персональных данных;
4) установленные настоящим Федеральным законом права субъекта персональных данных.
Статья 19. Меры по обеспечению безопасности персональных данных при их обработке
1. Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
2. Правительство Российской Федерации устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных.
3. Контроль и надзор за выполнением требований, установленных Правительством Российской Федерации в соответствии с частью 2 настоящей статьи, осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных.
4. Использование и хранение биометрических персональных данных вне информационных систем персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения.
Статья 20. Обязанности оператора при обращении либо при получении запроса субъекта персональных данных или его законного представителя, а также уполномоченного органа по защите прав субъектов персональных данных
1. Оператор обязан в порядке, предусмотренном статьей 14 настоящего Федерального закона, сообщить субъекту персональных данных или его законному представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с ними при обращении субъекта персональных данных или его законного представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его законного представителя.
2. В случае отказа в предоставлении субъекту персональных данных или его законному представителю при обращении либо при получении запроса субъекта персональных данных или его законного представителя информации о наличии персональных данных о соответствующем субъекте персональных данных, а также таких персональных данных оператор обязан дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 5 статьи 14 настоящего Федерального закона или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий семи рабочих дней со дня обращения субъекта персональных данных или его законного представителя либо с даты получения запроса субъекта персональных данных или его законного представителя.
3. Оператор обязан безвозмездно предоставить субъекту персональных данных или его законному представителю возможность ознакомления с персональными данными, относящимися к соответствующему субъекту персональных данных, а также внести в них необходимые изменения, уничтожить или блокировать соответствующие персональные данные по предоставлении субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет оператор, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки. О внесенных изменениях и предпринятых мерах оператор обязан уведомить субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные этого субъекта были переданы.
4. Оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по его запросу информацию, необходимую для осуществления деятельности указанного органа, в течение семи рабочих дней с даты получения такого запроса.
Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, а также по уточнению, блокированию и уничтожению персональных данных
1. В случае выявления недостоверных персональных данных или неправомерных действий с ними оператора при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки.
2. В случае подтверждения факта недостоверности персональных данных оператор на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные и снять их блокирование.
3. В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанный орган.
4. В случае достижения цели обработки персональных данных оператор обязан незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральными законами, и уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанный орган.
5. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных оператор обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий трех рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и субъектом персональных данных. Об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных.
Статья 22. Уведомление об обработке персональных данных
1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;
2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных;
4) являющихся общедоступными персональными данными;
5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
7) включенных в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус федеральных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
8) обрабатываемых без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.
3. Уведомление, предусмотренное частью 1 настоящей статьи, должно быть направлено в письменной форме и подписано уполномоченным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации. Уведомление должно содержать следующие сведения:
1) наименование (фамилия, имя, отчество), адрес оператора;
2) цель обработки персональных данных;
3) категории персональных данных;
4) категории субъектов, персональные данные которых обрабатываются;
5) правовое основание обработки персональных данных;
6) перечень действий с персональными данными, общее описание используемых оператором способов обработки персональных данных;
7) описание мер, которые оператор обязуется осуществлять при обработке персональных данных, по обеспечению безопасности персональных данных при их обработке;
8) дата начала обработки персональных данных;
9) срок или условие прекращения обработки персональных данных.
4. Уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с даты поступления уведомления об обработке персональных данных вносит сведения, указанные в части 3 настоящей статьи, а также сведения о дате направления указанного уведомления в реестр операторов. Сведения, содержащиеся в реестре операторов, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, являются общедоступными.
5. На оператора не могут возлагаться расходы в связи с рассмотрением уведомления об обработке персональных данных уполномоченным органом по защите прав субъектов персональных данных, а также в связи с внесением сведений в реестр операторов.
6. В случае предоставления неполных или недостоверных сведений, указанных в части 3 настоящей статьи, уполномоченный орган по защите прав субъектов персональных данных вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов.
7. В случае изменения сведений, указанных в части 3 настоящей статьи, оператор обязан уведомить об изменениях уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты возникновения таких изменений.
Глава 5. КОНТРОЛЬ И НАДЗОР ЗА ОБРАБОТКОЙ ПЕРСОНАЛЬНЫХ ДАННЫХ. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ТРЕБОВАНИЙ НАСТОЯЩЕГО ФЕДЕРАЛЬНОГО ЗАКОНА
Статья 23. Уполномоченный орган по защите прав субъектов персональных данных
1. Уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям настоящего Федерального закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи.
2. Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение.
3. Уполномоченный орган по защите прав субъектов персональных данных имеет право:
1) запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию;
2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий;
3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;
4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона;
5) обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных и представлять интересы субъектов персональных данных в суде;
6) направлять заявление в орган, осуществляющий лицензирование деятельности оператора, для рассмотрения вопроса о принятии мер по приостановлению действия или аннулированию соответствующей лицензии в установленном законодательством Российской Федерации порядке, если условием лицензии на осуществление такой деятельности является запрет на передачу персональных данных третьим лицам без согласия в письменной форме субъекта персональных данных;
7) направлять в органы прокуратуры, другие правоохранительные органы материалы для решения вопроса о возбуждении уголовных дел по признакам преступлений, связанных с нарушением прав субъектов персональных данных, в соответствии с подведомственностью;
8) вносить в Правительство Российской Федерации предложения о совершенствовании нормативного правового регулирования защиты прав субъектов персональных данных;
9) привлекать к административной ответственности лиц, виновных в нарушении настоящего Федерального закона.
4. В отношении персональных данных, ставших известными уполномоченному органу по защите прав субъектов персональных данных в ходе осуществления им своей деятельности, должна обеспечиваться конфиденциальность персональных данных.
5. Уполномоченный орган по защите прав субъектов персональных данных обязан:
1) организовывать в соответствии с требованиями настоящего Федерального закона и других федеральных законов защиту прав субъектов персональных данных;
2) рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений;
3) вести реестр операторов;
4) осуществлять меры, направленные на совершенствование защиты прав субъектов персональных данных;
5) принимать в установленном законодательством Российской Федерации порядке по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, или федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, меры по приостановлению или прекращению обработки персональных данных;
6) информировать государственные органы, а также субъектов персональных данных по их обращениям или запросам о положении дел в области защиты прав субъектов персональных данных;
7) выполнять иные предусмотренные законодательством Российской Федерации обязанности.
6. Решения уполномоченного органа по защите прав субъектов персональных данных могут быть обжалованы в судебном порядке.
7. Уполномоченный орган по защите прав субъектов персональных данных ежегодно направляет отчет о своей деятельности Президенту Российской Федерации, в Правительство Российской Федерации и Федеральное Собрание Российской Федерации. Указанный отчет подлежит опубликованию в средствах массовой информации.
8. Финансирование уполномоченного органа по защите прав субъектов персональных данных осуществляется за счет средств федерального бюджета.
9. При уполномоченном органе по защите прав субъектов персональных данных создается на общественных началах консультативный совет, порядок формирования и порядок деятельности которого определяются уполномоченным органом по защите прав субъектов персональных данных.
Статья 24. Ответственность за нарушение требований настоящего Федерального закона
Лица, виновные в нарушении требований настоящего Федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.
Глава 6. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
Статья 25. Заключительные положения
1. Настоящий Федеральный закон вступает в силу по истечении ста восьмидесяти дней после дня его официального опубликования.
2. После дня вступления в силу настоящего Федерального закона обработка персональных данных, включенных в информационные системы персональных данных до дня его вступления в силу, осуществляется в соответствии с настоящим Федеральным законом.
3. Информационные системы персональных данных, созданные до 1 января 2010 года, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2011 года.
4. Операторы, которые осуществляют обработку персональных данных до дня вступления в силу настоящего Федерального закона и продолжают осуществлять такую обработку после дня его вступления в силу, обязаны направить в уполномоченный орган по защите прав субъектов персональных данных, за исключением случаев, предусмотренных частью 2 статьи 22 настоящего Федерального закона, уведомление, предусмотренное частью 3 статьи 22 настоящего Федерального закона, не позднее 1 января 2008 года.
Президент Российской Федерации В.ПУТИН Москва, Кремль 27 июля 2006 года N 152-ФЗ
