Уполномоченный орган по защите прав субъектов персональных данных: итоги за 2011 год

Вчера Уполномоченный орган по защите прав субъектов персональных данных опубликовал на сайте Роскомнадзора отчет о своей деятельности за 2011 год.

Надо сказать, что Роскомнадзор в целом и Управление по защите прав субъектов персональных данных, в частности, весьма активно и результативно использует возможности своего интернет-портала, поддерживая актуальную новостную ленту, выкладывая новые документы, организовав форум и FAQ и т.д.

Естественно, 54-страничный документ требует пристального и детального анализа, что проще сделать, внимательно его рассмотрев самостоятельно. Тем, кому недосуг – взгляд моими слипшимися от бессонной ночи изучения отчета глазами.

Отчет подводит итоги деятельности уполномоченного органа в минувшем году по следующим направлениям:

·         осуществление государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации;

·         деятельность по ведению реестра операторов, осуществляющих обработку персональных данных;

·         рассмотрение обращений граждан и юридических лиц;

·         работа консультативного совета при надзорном органе;

·         международное сотрудничество.

Подобный документ ежегодно публикуется уполномоченным органом с 2008 года, но в этом году впервые включает в себя сведения о надзорной деятельности ФСБ и ФСТЭК в области персональных данных, что тоже очень интересно.

Роскомнадзор отмечает рост гражданской активности в вопросах защиты прав и законных интересов субъектов персональных данных, постоянное совершенствование механизмов защиты и внедрение новых мер профилактического характера в форме мониторинга деятельности операторов, что позволило ему уже на начальной стадии выявить и пресечь ряд серьезных нарушений прав значительного числа граждан, которые, впоследствии, могли вызвать широкий общественный резонанс.

В 2011 году контрольно-надзорная деятельность была спланирована с учетом итогов 2010 года, по результатам которых были выделены категории операторов, на деятельность которых поступало наибольшее количество жалоб граждан – кредитные организации и коллекторские агентства, а также обрабатывающие персональные данные значительного числа субъектов - авиакомпании и кадровые агентства. В отношении представителей этой группы в 2011 году были проведены 194 плановые проверки.

Общие итоги надзорной деятельности в 2008-2011 г.г. я свел в табличку:

Таблица 1 

		2008	2009	2010	2011
Проведено проверок	Всего	76	432	1253	2231
	% к прошлому году	-	568	290	178
	Плановых	36	284	804	1440
	% к прошлому году	-	789	283	179
	Внеплановых	40	148	449	791
	% к прошлому году	-	370	303	176
	% от общего числа в этом году	53	34	36	35
Выдано предписаний	Всего	19	557	1908	2250
	% к прошлому году	-	2931	343	118
	В среднем на 1 проверку	0,25	1,29	1,52	1,01
Составлено протоколов	Всего	0	54	2996	4901
	% к прошлому году	-	-	5548	164
	В среднем на 1 проверку	0	0,13	2,39	2,20
Всего выписано штрафов	На сумму, тыс. руб.	0	75	4480	7900
	Рост, в количество раз	-	-	60	1,8
Поступило обращений в Уполномоченный орган	Всего	146	465	1829	3920
	% к прошлому году	-	318	393	214

Интересно, что из 1706 намеченных на 2011 год  266 плановых проверок или почти 16%, отменено в связи с ликвидацией оператора.

Из таблицы видно, что проверки стали носить не профилактический или пресекающий, а откровенно карательный характер – число предписаний об устранении нарушений составляет в среднем 1 на каждую проверку, а количество протоколов, ведущих к наложению штрафа, - 2,2 на каждую проверку. Что не могло не сказаться на размере выписанных штрафов, которое выросло до 7,9 млн. рублей, что в 105 (!) раз больше, чем всего два года назад. Можно только представить, как вырастет объем взыскиваемых штрафов при принятии поправок в КоАП, о которых я писал на днях.

Если мы просмотрим результаты проверок в отношении четырех выявленных Роскомнадзором категорий наиболее часто нарушающих закон операторов, то результаты надзорной деятельности окажутся совсем неожиданными (таблица 2).

Таблица 2 

	Кредитные организации	Коллекторские агентства	Кадровые агентства	Авиакомпании
Проведено проверок	189	25	31	14
Выдано предписаний	125	13	30	8
В среднем на одну проверку	0,66	0,52	0,97	0,57
Составлено протоколов	36	14	13	0
В среднем на одну проверку	0,19	0,56	0,42	0

У прошлогодних нарушителей удельная доля мер воздействия по результатам проверок оказалась значительно ниже, чем в целом по операторам! То ли выводы правильные ими были сделаны, то ли не такие уж они и злостные. Особенно впечатляет количество протоколов, составленных в авиакомпаниях и банках, при среднем показателе 2,2 на проверку по стране.

В 2011 году по поручению органов прокуратуры проведено 116 внеплановых проверок, причем треть проверок были инициированы по жалобам граждан на организации ЖКХ.

Со своей стороны, в 2011 году в органы прокуратуры для рассмотрения вопроса о возбуждении дел об административном правонарушении по признакам ст. 13.11 КоАП РФ Роскомнадзором направлено около 900 материалов, но решения о возбуждении дел прокурорами были приняты лишь в 167 случаях, т.е. в одном случае из пяти. Основная причина отказа - истечение трехмесячного срока давности по данной статье, предусмотренного КоАП или принятие «иных мер прокурорского реагирования» (внесение представлений, направление предостережений). Но и эта проблема, похоже, скоро будет решена.

В двух субъектах Федерации (Алтайском и Краснодарском крае) прокуратура не согласилась с расширительным пониманием оснований для внеплановых проверок, в Административном регламенте Роскомнадзора. По ее мнению, при отсутствии угрозы жизни и здоровью субъектов или признаков нарушений прав потребителей проверки являются неправомерными, и привлекла инспекторов территориальных управлений к административной ответственности.

Роскомнадзор считает, что «привлечение к административной ответственности и принятие иных мер прокурорского реагирования в отношении должностных лиц, строго соблюдающих положения требований действующих нормативных правовых актов [имеются в виду инспекторы Роскомнадзора, следующие Административному регламенту], может оказать существенное негативное влияние на выполнение ими своих должностных обязанностей в будущем».

Про остальное - типичных нарушениях и результатах надзорной деятельности ФСБ и ФСТЭК – в следующем посте. 

Достойное занятие для надзорных органов

История развивается по спирали. И вот новый виток. На смену сайтам с базами данных россиян Sherlok и Radarix пришел новый ресурс RusLeaks на трех зеркалах в зонах .com, .org и .net. Кстати, для справки. Управление «К» МВД еще в 2004 г. гордо доложило о прикрытии сайта Sherlok.ru, а он жив и здоров.

На RusLeaks размещено 185 баз со сведениями о российских гражданах, большинство из которых не старше 2004-2005 гг. Не хочу обсуждать вопрос, «кому и зачем это нужно». Благоглупости создателей сайта про борьбу с коррупцией оставим на их совести или спишем на воспаленное воображение. Проверил сведения о себе. Если знание того, куда я шесть раз летал на самолете в 2006 г., способствуют победе над самой страшной бедой России, я не возражаю, пусть там данные лежат.

Я о другом. Интернет трубит, блоги дымятся, форумы захлебываются.

Гробовое молчание хранят лишь те, кто поставлен государством за наши с вами деньги налогоплательщиков следить за соблюдением наших же прав. Уполномоченный орган по защите прав субъектов отнюдь не торопится встать на их защиту. А ведь, значительно расширив ФЗ-294, чего у Роскомнадзора никто не просил, наш защитник добавил в Административный регламент в качестве основания для проведения внеплановых проверок получение информации из средств массовой информации о нарушении прав и законных интересов граждан действиями операторов при обработке их персональных данных. Уж раз добавили, надо выполнять. Первые сообщения в СМИ появились в прошедший четверг. Пора бы и среагировать.

Безмолвствует Прокуратура, задача которой – осуществлять надзор за соблюдением прав и свобод человека и гражданина. Не отвечает на звонки Forbes Управление «К» МВД - главный орган в противодействии высокотехнологичным преступлениям. Ни под каким видом не комментируют произошедшее ФСБ, МВД, налоговая инспекция и ФАС, чьи, пусть и устаревшие, сведения, выброшены в открытый доступ.

Порадовали меня, как клиента, своим глубоким знанием закона представители банка ВТБ, чьи данные тоже стали доступны: «Банк несет ответственность только в том случае, если доказано, что он распространял сведения о клиентах по собственной инициативе». Правда? А в законе «О персональных данных» написано совсем не так: «Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных». И про инициативу оператора нет ни слова.

А утечка-то - значительная. Как там в «приказе трех» о классификации ИСПДн? Сделаны общедоступными данные в информационной системе (а поскольку интерфейс поиска на сайте RusLeaks общий, вся совокупность размещенных на нем баз данных – это одна ИСПДн), для которой нарушение заданной характеристики безопасности обрабатываемых персональных данных может привести к «значительным негативным последствиям» для субъектов персональных данных. И сделаны общедоступными отнюдь не субъектом и без его письменного согласия.

Вот они, значительные негативные, и наступили. И что?

Понимаю, что проверять Мильковскую сельскую школу в камчатской глуши или сельхозтехникум в Туве по проблемам возможного использования ими криптографии для защиты персданных учащихся значительно проще и приятнее. Как и требовать соответствия письменного согласия пациента закону в кожно-венерическом диспансере или выписывать штрафы за отсутствие уведомления или его несоответствие чему бы то ни было.

Cлучился как раз тот случай, ради которого писался закон, и пора всю государственную машину развернуть на пресечение наглого, грубого и демонстративного его игнорирования. Пусть для этого необходимо связаться с властями Швеции или других стран, где размещены сервера, добиться прекращения противоправной деятельности и выполнить все необходимое для восстановления попранных прав российских граждан. И не забыть проинформировать о принятых мерах налогоплательщиков.

Каждый должен отрабатывать свой хлеб. А иначе – за что мы платим налоги?