С профессиональным праздником!

Я не знаю, почему этот праздник называют «мужским днем». Я не знаю, почему в этот день или накануне девочки в детском саду поздравляют мальчиков, а ребятишки, откосившие от армии, откупоривают в офисах теплое пиво и поздравляют друг друга. Я не могу их поздравить, потому что в этот день – не с чем.

Я поздравляю тех, кто служил, кто носил форму и вышагивал по плацу, тех, кто его любил, и тех, кто этот плац ненавидел. Кто стрелял – в реальной обстановке, на стрельбище или в тире, даже если это противно их убеждениям. Кто честно оттрубил свои 45 календарных или год срочной. Кому это было сложно, но, сжав челюсти, он отдал свой долг своим согражданам и своей Родине, дотянув до законного дембеля или оргштатных мероприятий. Тех, кто мерз на севере, жарился на юге и «просиживал штаны» в штабах, институтах и «учреждениях Минобороны», и пусть те, кто так считают, попробуют просидеть хотя бы пару этих штанов. У каждого из них было свое дело, и называлось оно «служба в армии и на флоте». Не в МВД, не в КГБ и не в ФСБ, не в пожарной охране и не в спасателях. У них свои профессиональные праздники, и они честно и с достоинством поздравляют друг друга и принимают поздравления, когда эти праздники приходят.

Я поздравляю Вас, коллеги, «сапоги» и «пиджаки», курсанты, «прошедшие славный путь» до полковников, и салабоны, не менее славным путем ставшие дедами, с нашим профессиональным праздником, какие бы названия не придумывали ему власть предержащие и не зависимо от того, была ли выиграна битва 23 февраля 1918 года, или этот день придумали. Мы этот день не назначали. Мы делали свое дело и имеем право этим гордиться, независимо от того, что об этом думают те, кто мыслит иначе.

С Праздником.  Здоровья Вам, сил и удачи. И простого человеческого счастья, того, которое каждый из нас считает таковым. Хотя бы немного. Мы его заслужили.

Особые, персональные поздравления тем, кто сменил армейские и флотские погоны на мифическую в России должность «офицера по информационной безопасности». Говорят, за нами будущее – поля сражение перемещаются в кибер-пространство. Хотелось бы другого будущего, без этих полей. Но будем реалистами.

С праздником! И успехов Вам!  

Врачу, исцелися сам

Вы поверите дерматологу, лицо которого покрыто сыпью и струпьями? Пойдете к стоматологу, от которого надо отойти на пару метров, чтобы не чувствовать запаха его зубов?

Извините за натурализм, но иные аналогии не приходят в голову, когда приходится знакомиться с документами компаний, особенно выплеснувшихся на рынок информационной безопасности в последние годы и продвигающих свои услуги на поляне, расчищенной государственным регулированием.

Иногда хочется найти руководителя или владельца компании и приватно сообщить ему: «Юрист твой – враг твой». Неграмотность в вопросах, которыми занимается компания, где такой юрист работает, может свести на нет все усилия специалистов, затраченные на пресейл. Например, в договоре на оказание услуг по защите информации ограниченного доступа компания-исполнитель предлагает заказчику принять на себя ответственность за охрану конфиденциальности сведений, указанных в договоре. Хотелось бы только понять, зачем это заказчику, и какие именно тайны исполнителя надо строго хранить?

Или исполнитель настаивает на обязательстве обоюдно защищать конфиденциальную информацию. Принесшей на рынок знания и навыки своих консультантов компании-исполнителю неплохо бы разобраться с законодательством и выяснить, что понятия конфиденциальной информации нет ни в одном законе, а исполнитель, судя по определению, предлагаемому в договоре, относит к таковой исключительно сведения, составляющие, в соответствии с формальными признаками, коммерческую тайну, но тщательно этого термина избегает (видимо, потому, что режима коммерческой тайны не установил или установить не умеет).

В коммерческом предложении на выполнение работ по персональным данным упорно отстаивается тезис об обязательности получения письменного согласия субъекта на любую обработку персданных и обещается научить заказчика способам получения «правильного» согласия на все случаи жизни. Почитать ФЗ-152 и выяснить, что согласие – всего лишь одно из одиннадцати законных оснований обрабатывать персональные данные, новоявленным консультантам некогда, поскольку надо деньги зарабатывать. Как и некогда выяснить, что в законе «О персональных данных» всего пять случаев получения согласия в письменной форме, а в остальных ситуациях оно должно быть просто доказываемым. Любым разумным способом.

В предложении на построение системы защиты коммерческой тайны говорится об обязательности аттестации информационной системы заказчика как финального аккорда всей работы «по приведению в соответствие», хотя аттестовать можно только объект информатизации, и для коммерческой тайны этого вовсе не требуется, да, и если говорить честно, невозможно в принципе. Но положение Гостехкомиссии аж 1994 года читать в лом, да и не выгодно – на аттестации можно нарубить еще денег.

Менеджер по продажам, приехавший вместе с инженером «ломать» заказчика на установку антивирусов производства компании А, упорно «не замечает», что на принесенных ими ноутбуках в трее свернут значок антивируса производителя Б. Чего, спрашивается, тогда толкаете А?

Инженер, настаивающий на обязательности установки для удаленного доступа в систему заказчика только сертифицированного клиента системы криптографической защиты, в ходе демонстрации втыкает в свой ноут токен, поднимает https и на голубом глазу демонстрирует эффективность использования продвигаемого решения.

Представитель вендора, убеждающий  применять шифрование дисков на мобильных устройствах, выносимых за пределы охраняемой территории, приходит на встречу с планшетом, на котором записаны все параметры предлагаемого решения, внутренние цены, типовые договора и особые условия поставки, с которыми он периодически сверяется, продвигая предложение. Естественно, без всякого их расшифрования.

И так до бесконечности.

У продвинутых заказчиков, которых с каждым годом становится все больше, вслед за Станиславским из груди невольно рвется «Не верю!». Но они на переговорах тактично и воспитанно молчат. Только не надо удивляться, что коммерческое предложение не принято, а проект договора возвращен после вроде бы успешных переговоров с категорическим отказом обсуждать работу в дальнейшем. Помешали сыпь на лице дерматолога и перекошенный костюм модного портного.

Лицензирование ТЗКИ усложнит жизнь операторам персональных данных

© Коллаж РИА Новости

Вышедшее недавно постановление правительства РФ о лицензировании деятельности по технической защите конфиденциальной информации (ТЗКИ) закрепило необходимость лицензирования технической защиты персональных данных, даже если это данные собственных сотрудников компании.

09/02/201219:15

МОСКВА, 9 фев - Digit.ru. Вышедшее недавно постановление правительства РФ о лицензировании деятельности по технической защите конфиденциальной информации (ТЗКИ) закрепило необходимость лицензирования технической защиты персональных данных, даже если это данные собственных сотрудников компании, говорят опрошенные Digit.ru эксперты.

"Из Постановления Правительства однозначно вытекает, что даже установка антивирусной программы на компьютер пользователя в офисе компании является лицензируемым видом деятельности, если на этом компьютере хранится и обрабатывается информация, доступ к которой ограничен федеральным законом", - говорит Михаил Емельянников, управляющий партнер Консалтингового агентства "Емельянников, Попова и партнеры".

До сих пор с момента вступления в силу Федерального закона "О персональных данных" четкого ответа на этот вопрос не существовало.

При условии жесткого применения указанных норм рынок может вырасти за счет более частого обращения компаний к лицензиатам. "Однако такой вариант событий представляется маловероятным, так как все эти нормы существовали, фактически, и раньше, но на практике карательные меры применялись крайне редко", - считает Емельянников.

Кроме того, к видам деятельности, подлежащих лицензированию, добавились установка, монтаж, испытания и ремонт средств защиты. По мнению Сергея Вихорева, заместителя генерального директора компании "ЭЛВИС-ПЛЮС", этот пункт вызовет много нареканий и вопросов. "Скорее всего, в этой связи чаще будут обращаться к лицензиатам за помощью в подготовке системы к эксплуатации и периодическому контролю", - говорит Вихорев.

Снова про лицензии на ТЗКИ

Получилось многобукв :-(.

Как многие, наверное, знают, 3 ноября 2011 г. вступил в силу Федеральный закон от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности». Для деятельности в области информационной безопасности в законе, напомню, было две новости. Как обычно, одна хорошая и одна плохая. Хорошая заключалась в том, что в отношении деятельности по  техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств появилась приписка «за исключением случая, если техническое обслуживание… осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя». А плохая – в том, что для деятельности по технической защите конфиденциальной информации такой приписки не появилось.

Расстроило то, что единственным законом, в котором сохранился термин «конфиденциальная информация», похоже, остался закон о лицензировании. Во всех остальных актах 200-ФЗ 2011 года выжег эти слова каленым железом, заменив на «информацию, в отношении которой установлено требование об обеспечении ее конфиденциальности» и «информацию ограниченного доступа». Правда, не пояснив, чем эти понятия отличаются. Порадовало в 99-ФЗ то, что лицензии стали бессрочными.

Весьма оперативно ФСТЭК подготовила, а Правительство Постановлением от 03.02.2012 № 79 утвердило новое «Положение о лицензировании деятельности по технической защите конфиденциальной информации», заменившее положение 2004 г., утвержденное Постановлением Правительства № 504. По этому поводу уже отпостились А.Лукацкий и А.Бондаренко.

Весьма кстати 7 февраля на пленарке 14-го Инфофорума начальник управления ФСТЭК И.Г.Назаров прокомментировал как новый закон, так и постановление.

Комментарий вкратце сводился к тому, что:

1. Лицензии теперь бессрочные, но тем, кто получил их до 03.11.2011, по истечении срока действия срочные лицензии придется переоформить.
2. Переоформление потребуется и при изменении перечня лицензируемых видов деятельности в отношении тех, которые в имеющейся лицензии не указаны. Видами деятельности, указанными в лицензии, можно будет заниматься и без получения новой даже при изменении перечня.
3. С 1 июля 2012 г. заявку на получение лицензии можно будет направлять в электронном виде.
4. ФСТЭК разрабатывает новый административный регламент деятельности по лицензированию.

Про собственные нужды и изменение понятия деятельности по ТЗКИ комментариев не было. Как обычно на пленарках Инфофорума, вопросы из зала предусмотрены не были.

Несколько соображений об изменениях в Положении.

В п.1 в скобках дано пояснение, что же такое конфиденциальная информация: не содержащая сведения, составляющие государственную тайну, но защищаемая в соответствии с законодательством Российской Федерации. Таким образом, формально техническая защита сведений с грифом ДСП не лицензируется. Из ГК РФ понятие служебной тайны ушло вместе с исключенной статьей 139, ФЗ «О служебной тайне» Госдумой с рассмотрения снят, а 8-ФЗ 2009 г. категорично и четко определяет (ст.5):

1. Доступ к информации о деятельности госорганов… ограничивается в случаях, если указанная информация отнесена в установленном федеральным законом порядке к сведениям, составляющим государственную или иную охраняемую законом тайну.

2. Перечень сведений, относящихся к информации ограниченного доступа, а также порядок отнесения указанных сведений к информации ограниченного доступа устанавливается федеральным законом.

Нет закона – нет ограничений. А закона нет.

В определении ТЗКИ «комплекс мероприятий» заменен на «выполнение работ».

В п.4 появился исчерпывающий перечень видов работ и услуг, требующих лицензирования. Сжато:

а) контроль защищенности конфиденциальной информации от утечки по техническим каналам (вопросов нет);

б) контроль защищенности конфиденциальной информации от НСД и ее модификации в средствах и системах информатизации (поскольку про собственные нужды нигде нет ни слова, похоже, речь идет о деятельности в рамках эксплуатации ИС – см., например, п.9 части 2 ст.19 ФЗ-152: контроль за принимаемыми мерами по обеспечению безопасности персональных данных);

в) сертификационные испытания;

г) аттестационные испытания и аттестация;

д) проектирование всякого в защищенном исполнении (по пунктам в)-д)), ИМХО, тоже без вопросов);

и самое интересное - пункт

е) установка, монтаж, испытания, ремонт СЗИ (технических СЗИ, защищенных ТСОИ, технических средств контроля эффективности мер защиты информации, программных (программно-технических) СЗИ, защищенных программных (программно-технических) СОИ, программных (программно-технических) средств контроля защищенности информации).

Жирным выделено мною. Получается «Установка программных СЗИ». То бишь, как справедливо пишет А.Бондаренко, антивируса в офисе. И, как справедливо пишет А.Лукацкий, на писюк или ноут вновь принятого на работу. Каждого. Т.е. надо звать лицензиата, чтобы в своей сети негромко чихнуть.

Лицензионные требования изменились незначительно, но знаково.

Индивидуальному предпринимателю, решившему на свой комп поставить антивирус, теперь надо иметь высшее профессиональное образование в области технической защиты информации либо высшее техническое или среднее профессиональное (техническое) образование при условии прохождения им переподготовки или повышения квалификации по вопросам технической защиты информации.

Наличие контрольно-измерительного оборудования (прошедшего метрологическую поверку (калибровку) и маркирование), производственного и испытательного оборудования, соответствующего требованиям по техническим характеристикам и параметрам, устанавливаемым ФСТЭК, теперь требуется не вообще, а для некоторых видов деятельности, но упомянутый пункт е) по-прежнему обуславливается приобретением оборудования.

Контроль защищенности от НСД требует наличия у лицензиата средств контроля, сертифицированных по требованиям безопасности информации, в соответствии с перечнем, утверждаемым ФСТЭК.

Если честно, не понял. Похоже, ФСТЭК утвердит перечень средств контроля, без которых проверять ничего будет нельзя. А может, речь идет просто о существующем перечне сертифицированных СЗИ, но он ведь не утверждается…

Сохранилось требование о наличии автоматизированных систем, аттестованных и (или) сертифицированных по требованиям безопасности информации. Но аттестовать можно только объект информатизации, а не систему. Опять загадка.

Вместо «нормативных правовых актов, нормативно-методических и методических документов по вопросам технической защиты информации» теперь требуется техническая документация, национальные стандарты (!) и методические документы, необходимые для выполнения работ и (или) оказания услуг, по-прежнему, в соответствии с перечнем ФСТЭК.

В качестве требования добавилось наличие системы производственного контроля в соответствии с установленными стандартами.

Про стандарты, как в области ИБ, так и производственного контроля, наверное, придется запостить как-нибудь отдельно. Там история, похоже, веселая – см. главу закона «О техническом регулировании».

Добавился порядок переоформления лицензии на новые виды работ и услуг и оказание услуг по адресу, не указанному в лицензии.

Исключены положения, вошедшие в новый закон о лицензировании.

Вроде бы все.

Будем ждать и смотреть. Опять.

Особенно интересна практика правоприменения нового положения в отношении юрлиц, которые никаких услуг по ТЗКИ не оказывают, но защищать информацию должны по закону. Пикантность ситуации в том, что видов информации, в отношении которой законами ограничен доступ, по разным оценкам у нас от 30 до 50. В том числе всякие там адвокатские, аудиторские, нотариальные и прочие тайны, тайны связи в телекоме и т.д. Ну, и конечно, персональные данные. 

«Хочу, чтобы мне за это ничего не было» -2. Ждем перемен?

Недавно запостил про ответственность за нарушения законодательства о персональных данных, писал про небольшие штрафы и перспективы развития событий после их наложения.

Но жизнь не стоит на месте, и бывает, что ситуация меняется быстро.

В Думу внесен очередной законопроект об изменениях Кодекса об административных правонарушениях. Предлагается внести весьма занятную статью 13.11.1 «Предоставление недостоверной информации о гражданах (персональных данных) оператору персональных данных», предусматривающая ответственность уполномоченного лица, заключающего от имени оператора персональных данных договор. В первую очередь статья направлена, как явствует из текста пояснительной записки, против агентов компаний сотовой связи, продающих симки без паспортов или по «левым» копиям паспортов. Инициаторы законопроекта с тревогой отмечают, что такие злоупотребления создают препятствия при проведении оперативно-розыскных действий, так как затрудняют идентификацию абонента. При этом установлено, что более 70% всех ложных сообщений о готовящихся терактах поступает с мобильных телефонов. Вот такая беда.

Поэтому таких «коммерческих представителей, оказывающих посреднические услуги в заключении договоров оказания услуг подвижной связи» надо прижать к ногтю и давить их штрафами до трехсот тысяч рублей. Вот как. На оператора, допускающего какие угодно нарушения, - не более 10 тысяч, а на его агента – аж 300.

Недоумение было недолгим.

Сайт Роскомнадзора со ссылкой, но без линка на агентство Маркер, сообщил, что «Правительство России подготовило законопроект об изменении статьи 13.11 Кодекса об административных правонарушениях (КоАП) РФ». В этой статье говорится о нарушении установленного законом порядка обработки персональных данных. Наказание за данное нарушение планируется увеличить в десятки раз. Т.е. ситуацию предлагается выровнять, и по ст.13.11 КоАП карать операторов персданных штрафами от 200 тыс. до 500 тыс. рублей.

Вот и правильно. А то как-то несправедливо: ЛООПДПО – 300 тысяч штрафа за нарушения, а оператору – только 10. Ату их!

Ждем перемен?

Хочу, чтобы мне за это ничего не было

Самый популярный вопрос, с которым обращаются в наше агентство в последние месяцы по поводу ФЗ-152: «А что нам будет за то, что мы ничего по защите персональных данных делать не будем?». Этот же вопрос, прослушав курсы, задают слушатели, прикинувшие на себя объем работы по выполнению закона. Он же чаще всего звучит и после публичных выступлений на различных конференциях, форумах, вебинарах и т.п. Просто эпидемия.

Похоже, в головах большинства сложилось четкое представление о мизерности штрафов по сравнению со стоимостью проектирования и технической реализации защитных мер, невозможности проверяющих хоть как-то повлиять на деятельность оператора персональных данных и привычное российское «Заплатим – и отстанут».

Это нередко действительно так, но не совсем.

Если мы полистаем разделы публичных докладов Роскомнадзора о деятельности в области персональных данных за последние пару лет, то увидим, что для привлечения операторов к ответственности применяются фактически всего две статьи КоАП: 13.11 «Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)» и 14.7 «Непредставление сведений (информации)». Максимальные наказания по ним действительно небольшие – для должностных лиц по 13.11 – 1 тысяча руб., для юридических лиц – 10 тысяч, по 19.7 и вовсе до 500 руб. для должностных лиц и до 5 тысяч руб. для юрлиц. Стоимость самого скромного проекта по ФЗ-152, даже без технических мер защиты, обойдется на порядки дороже. Да и постановление по делу об административном правонарушении должно быть вынесено в течение не более чем двух месяцев с момента выявления нарушения.

Но это взгляд поверхностный. А если копнуть поглубже, риски оператора уже не выглядят такими незначительными. И вытекают они из самой системы государственного контроля и надзора, установленной другим законом, ФЗ-294. Ст.17 данного закона предусматривает, что при выявлении проверяющими-надзирающими нарушений обязательных требований они обязаны выдать предписание об их устранении с указанием сроков и принять меры по контролю за устранением выявленных нарушений, их предупреждению, а также меры по привлечению виновных лиц к ответственности. Обязаны!

И если оператор требования предписания не выполнил, вступают в действие другие статьи КоАП: 19.5 «Невыполнение в срок законного предписания органа, осуществляющего государственный надзор» (штраф уже до 20 тысяч), 19.6 «Непринятие мер по устранению причин и условий, способствовавших совершению административного правонарушения», 19.4 «Неповиновение законному распоряжению должностного лица органа, осуществляющего государственный надзор». А выполнить предписание иногда не просто сложно, а фактически невозможно, тем более, что для его реализации предоставляется небольшой срок, как правило – не более 1 месяца.

В качестве примера – реальная ситуация. Оператор связи (несколько миллионов абонентов) передал работу по выставлению счетов за услуги клиентам и сбору платежей в дочерние организации-самостоятельные юрлица. Прокуратура совместно с Роскомнадзором выявили нарушение – предоставление персональных данных субъектов третьим лицам без их согласия и потребовали в месячный срок нарушение устранить. А теперь прикиньте, что это значит – либо свернуть сеть сервисных центров и вернуть бизнес в головную компанию (с ликвидацией юрлиц и передачей дел-прав), либо получить подтверждаемое согласие у миллионов людей на огромной территории. За месяц. Не удастся выполнить – оператора не можно, а надо снова штрафовать!

Для руководящего состава операторов-юрлиц предусмотрено и такое наказание, как дисквалификация, т.е. лишение права занимать должности в исполнительном органе управления юридического лица, входить в совет директоров (наблюдательный совет). Дисквалификация устанавливается на срок от шести месяцев до трех лет и может быть применена к лицам, осуществляющим организационно-распорядительные или административно-хозяйственные функции в органе юридического лица, к членам совета директоров (наблюдательного совета).

Реальная ситуация, имевшая место в жизни – дисквалификация по ст.5.27 «Нарушение законодательства о труде и об охране труда» должностного лица, ранее подвергнутого административному наказанию за аналогичное административное правонарушение. Не выполнено на предприятии требование п.8 ст.88 Трудового кодекса о наличии и доведении под роспись до работников документов, устанавливающих порядок обработки персональных данных работников, а также их правах и обязанностях в этой области – пожалуйста, штраф до 5 тысяч рублей на руководителя (можно и всего тысячу, чтобы не сильно пугались) и предписание устранить нарушение в месячный срок. А за месяц и разработать, и довести документ до большого трудового коллектива ой как сложно. Кто-то в отпуске, кто-то учится, кто-то болен. Внеплановая проверка через месяц в рамках надзора за устранением выявленных нарушений – дисквалификация первого лица, ранее оштрафованного за аналогичное нарушение.

Наконец, хотя никакой возможности административной приостановки деятельности оператора за нарушения, связанные с персональными данными, кодекс не предусматривает, за исключением случаев (внимание!) если оператор является лицензиатом ФСТЭК или ФСБ и при этом грубо нарушает лицензионные условия (ч.5 ст.13.12 «Нарушение правил защиты информации»). А вот за нарушение трудового законодательства (помним о главе 14 Трудового кодекса!) вполне можно, по упоминавшейся выше ч.1 ст.5.27 КоАП, на срок до 90 суток.

Отдельная проблема – выполнение требований по защите персональных данных, в том числе в части использования несертифицированных средств. Но об этом – как-нибудь в другой раз.

А на сегодня мой рецепт простой: просчитайте риски – для своей организации, для себя лично с учетом занимаемой позиции и степени ответственности и принимайте решения: ждать или действовать.

Продолжение:  «Хочу, чтобы мне за это ничего не было» -2. Ждем перемен?

Шагреневая кожа персональных данных

В предыдущем посте я обещал прокомментировать новость о создании Федеральной службой судебных приставов «интернет-банка должников, в который вошли сведения о неплательщиках со всей России». Причем на сайте ФССП найти эту новость и комментарии главного судебного пристава Российской Федерации Артура Парфенчикова мне так и не удалось, а вот пресс-релиз екатеринбургского коллекторского агентства ЗАО «Агентство по сбору платежей» на эту тема гуляет по Рунету, особенно активно тиражируемый сайтами коллекторских агентств и их объединений.

Давайте попробуем отделить мух от котлет и разобраться, в чем же реально дело.

В соответствии с традицией последних лет, самое интересное, но не слишком нуждающееся в тиражировании, происходит в нашей стране в новогодне-рождественские каникулы.

1 января 2012 года вступили в силу изменения в Федеральный закон № 229-ФЗ «Об исполнительном производстве». В соответствии с ними начала действовать новая статья закона 6.1 «Банк данных в исполнительном производстве», предусматривающая создание и ведение Федеральной службой судебных приставов банка данных, в том числе в электронном виде, содержащего сведения, необходимые для осуществления задач по принудительному исполнению судебных актов, актов других органов и должностных лиц. При этом сведения, содержащиеся в этом банке, до дня окончания (прекращения) исполнительного производства или до обнаружения указанных лиц или имущества являются общедоступными. Эти общедоступные сведения в отношении физических лиц включают в себя фамилию, имя, отчество и дату рождения должника, дату принятия судебного акта, номер исполнительного документа, дату возбуждения исполнительного производства и его номер, требования, содержащееся в исполнительном документе, сведения о подразделении судебных приставов, в котором возбуждено (ведется) исполнительное производство и даже, в случае розыска ребенка – его фамилию, имя, отчество и год рождения.

Такой банк данных функционирует на сайте Службы служебных приставов в виде поисковой системы:

Я на сайт ФССП давно не ходил, но этот сервис был там и год назад, несколько с иным интерфейсом.

Хорошо или плохо иметь такой банк, однозначно сказать сложно. С одной стороны, по долгам надо платить, а уж всякие там алименты – тем более. И уклоняться от этой обязанности как-то не очень честно и нравственно. Да и перед выездом  за границу неплохо бы знать, не ждут ли неприятные сюрпризы при ее пересечении. С другой стороны, зная, как работает наша бюрократическая машина и российская почта при доставке уведомлений, велик риск оказаться невинной жертвой ошибки. Так что воздержимся от вынесения суждений и констатируем факт: в очередной раз при выборе между приватностью и государственными интересами законодатели выбирают государственный интерес. Так было при внесении изменений, касающихся договоров о реадмиссии, оказании государственных электронных услуг, переписи населении, наделении полномочиями судебных приставов в части получения персональных данных должников, при принятия закона об обязательном медицинском страховании, при внесении изменений в закон об образовании в части персданных участников ЕГЭ и во многих других случаях. Зона защищаемой приватности личных данных при исполнении государственных функций неумолимо сжимается, как шагреневая кожа.

Кстати, с 1 января заработали еще два любопытных постановления Правительства: от 22.12.2011 № 1092 «О порядке представления в регистрирующий орган иными государственными органами сведений в электронной форме, необходимых для осуществления государственной регистрации юридических лиц и индивидуальных предпринимателей, а также для ведения единых государственных реестров юридических лиц и индивидуальных предпринимателей» и от 23.12.2011 № 1115 «О единой автоматизированной информационной системе технического осмотра транспортных средств», предусматривающие создание баз, содержащих персональные данные, и активный межведомственный обмен ими. Но это - предмет отдельного анализа.

И в заключение о мухах и о способах чтения закона. С котлетами мы более-менее разобрались.

Упомянутое выше екатеринбургское коллекторское агентство, выпустившее пресс-релиз, ставший поводом для данного поста, в марте 2010 года опубликовало на своем официальном сайте список должников, против которых были возбуждены исполнительные производства на основании судебных решений, касающихся долгов за коммуналку. Прокуратура Свердловской области подобную инициативу правомерно пресекла, посчитав ее незаконной. Теперь же генеральный директор агентства радостно сообщает всем в пресс-релизе, что «та история с публикацией в сети Интернет фамилий должников повлияла на действующее законодательство, и закон все же оказался на нашей стороне. Получается, мы просто опередили время!».

Нет, господа хорошие. Вы просто тривиально нарушили закон. И сейчас банк должников, несмотря на общедоступность сведений в нем, построен не в виде списка, а в виде поисковой системы. И ведет его ФССП, и прав коллекторских агентств публиковать какие-либо списки должников ни в одном законе так и не появилось. Как и вообще оснований для функционирования коллекторских агентств. И ФССП не «представила общественности запрещенный ранее проект интернет-банка должников», а выполнила требования Федерального закона в установленный срок. Не надо передергивать и рассказывать, что «подобную систему работы с персональными  данными уже давно используют службы безопасности банков». Схема совершенно иная и очень строго регламентируется законом. В данном случае –  ФЗ-218 «О кредитных историях».

Персональные данные: следуя за изменениями практики правоприменения

В ожидании принятия правительством документов, реализующих положения измененного летом прошлого уже года ФЗ-152 «О персональных данных», не стоит забывать, что практика правоприменения определяется не только самим ФЗ и нормативно-правовыми актами правительства, но и смежным законодательством, и принятыми документами регулирующих и надзорных органов, решениями судов различной юрисдикции и различных инстанций.

Отслеживая эти изменения, мы стараемся своевременно и оперативно корректировать проводимые авторские курсы и семинары, актуализируя их содержание по мере появления тех или иных решений, устойчивых тенденций в деятельности уполномоченных органов, и даже по результатам обсуждения идей, высказанных в этом блоге.

С сегодняшнего дня предлагается новая редакция авторского курса «Изменения законодательства о персональных данных и последствия для операторов», в котором анализируются изменения, связанные с персональными данными и внесенные в законодательство об исполнительном производстве и судебных приставах, обязательном медицинском страховании и образовании, рассматриваются особенности раскрытия и опубликования персональных данных участников и аффилированных лиц обществ (акционерных и с ограниченной ответственностью), обсуждаются проблемы правомерности обработки работодателем сведений о состоянии здоровья работника, связанных и не связанных с возможностью выполнения трудовой функции, допустимости обработки сведений о судимости, в том числе – связанные с принятием новой редакции ФЗ-402 от 06.12.2011 «О бухгалтерском учете в Российской Федерации». 

Программа семинара дополнена вопросами отнесения персональных данных к биометрическим. Так, рассматриваются новые признаки таких данных, установленные ФЗ-261 "О внесении изменений в Федеральный закон "О персональных данных"", требования ГОСТ  Р  ИСО/МЭК 19794-5-2006 к формату записи изображения лица человека в биометрических системах и изложением позиции Роскомнадзора по этому вопросу. Анализируется практика оценки органами Роскомнадзора правомерности хранения операторами копий паспортов граждан в ходе проверок операторов персональных данных.

Новый раздел семинара посвящен изменениям в системе государственного контроля и надзора за выполнением законодательства о персональных данных, в частности – изменениям в ФЗ-294 "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" и их влиянию на проведение проверок, новому административному регламенту проверок Роскомнадзора от 14.11.2011, типовому регламенту и проекту административного регламента ФСБ России. Рассматриваются вопросы планирования проверок надзорными органами и доведения информации о них до проверяемых.

Естественно, что по мере принятия новых законодательных и нормативно-правовых актов, проявления заметных тенденций правоприменения законодательства в программу семинара и в дальнейшем будут вноситься изменения и дополнения.

Оценивать все это очень важно, поскольку в зависимости от позиции и целей, преследуемых той или иной организацией или органом, появляются самые неожиданные трактовки закона. В качестве примере – ошарашивающая новость от коллекторов: «Федеральная служба судебных приставов представила общественности запрещенный ранее проект интернет-банка должников, в который вошли сведения о неплательщиках со всей России». И сделано это «в соответствии с изменениями в федеральных законах «О персональных данных» и «Об исполнительном производстве»», а в этой базе данных на сайте ФССП России раскрывается имя, фамилия, отчество, дата рождения должника.  Но об этом – в следующем посте.

А обновленный курс можно будет прослушать 10 февраля в Москве, в Учебном центре «Информзащита», и 17 февраля в Самаре, в Центре «Технологии управления бизнесом».

Коммерческая тайна: кругом-МАРШ! Часть вторая

Как и обещал в первой публикации на эту тему, вторая часть соображений про некоторый откат в отношении исключительных прав обладателей коммерческих секретов.

Ситуация связана с существующей в течении многих лет коллизии между законом «Об акционерных обществах» и законодательством о коммерческой тайне. Проблем, связанных между собой, две.

Первая заключается в том, что  ФЗ-98 «О коммерческой тайне» определяет порядок передачи информации, составляющей коммерческую тайну организации, работникам – на основании трудовых договоров, контрагентам – на основании гражданско-правовых договоров, органам власти – в рамках их деятельности, естественно, без договоров. А вот с участниками обществ, акционерами в том числе, отношения не регулируются никак.

Вторая проблема состоит в том, что ст.91 ФЗ-208 «Об акционерных обществах» обязывает общества обеспечить акционерам доступ к документам, предусмотренным пунктом 1 ст.89 того же закона. А там, среди прочего, перечислены документы, подтверждающие права общества на имущество, находящееся на его балансе, внутренние документы общества (?) и протоколы заседаний совета директоров (наблюдательного совета), ревизионной комиссии и коллегиального исполнительного органа общества (правления, дирекции).

Кстати, возникает еще одна коллизия в связи с новой редакцией ФЗ-402 от 6 декабря 2011 года «О бухгалтерском учете». Как я уже писал, теперь «в отношении бухгалтерской (финансовой) отчетности не может быть установлен режим коммерческой тайны». В соответствии со ст.91 ФЗ «Об акционерных обществах», к документам бухгалтерского учета и протоколам заседаний коллегиального исполнительного органа имеют право доступа акционеры, имеющие в совокупности не менее 25 процентов голосующих акций.

Т.е. вроде как к бухгалтерскому учету (кроме отчетности) и протоколам правления доступ миноритариям ограничить можно. А вот к материалам совета директоров – никак.

После исков А.Навального к акционерным обществам, акциями которых он владеет (а иски касались как раз отказов в предоставлении протоколов советов директоров) 18.01.2011 г. Конституционный суд выдал замечательную формулировку: «Достижение конституционно значимого баланса интересов акционеров и АО предполагает, что право акционеров на доступ к документам общества должно осуществляться без нарушения прав и законных интересов как самих акционеров, так и АО как самостоятельного субъекта гражданского оборота, заинтересованного в сохранении конфиденциальности коммерчески значимой для него информации». И далее: «Акционерное общество вправе установить адекватный режим доступности информации по вопросам, отнесенным законом и корпоративными нормативными актами к компетенции совета директоров и исполнительного органа акционерного общества». Вывод из этого не менее витиеват: «В делах, связанных с предоставлением информации, эффективный судебный контроль подразумевает как оценку правильности определения режима доступности информации с точки зрения наличия конфиденциальной информации, касающейся текущей хозяйственной деятельности, так и оценку обстоятельств конкретного дела, позволяющих выявить в действиях как АО, так и акционера злоупотребление правом, в том числе наличие необоснованного интереса в получении информации и иных признаков, которые указывают на намеренное создание объективных трудностей, способных отрицательно влиять на хозяйственную деятельность конкретного АО».

В тот же день (вот она, скорость реагирования на судебные решения, достойная подражания!) Президиум Высшего арбитражного суда (ВАС) РФ направил информационное письмо № 144, в котором очень просто растолковал, что «наличие в документах, запрашиваемых участником (акционером), коммерческой или иной охраняемой законом тайны не может быть безусловным основанием для отказа в предоставлении информации. Если документы, которые требует предоставить участник хозяйственного общества, содержат конфиденциальную информацию о деятельности общества, в том числе коммерческую тайну, общество, прежде чем передать соответствующие документы и (или) их копии, может потребовать выдачи расписки, в которой участник подтверждает, что предупрежден о конфиденциальности получаемой информации и об обязанности ее сохранять».

Про расписку я скромно умолчу, хотя ФЗ-98 никакого способа регулирования отношений, связанных с коммерческой тайной, кроме как гражданско-правовых или трудовых договоров не предполагает, а расписка в российском правоприменении как способ регулирования отношений участников – нечто загадочное.

Надо сказать, что судебная ветвь власти далеко не всегда так лояльно относилась к миноритарным акционерам, претендующим на знание коммерческих секретов общества, участниками которого они являются.

Так, в Постановлении Федерального арбитражного суда Уральского округа от 07.09.2000 г. по делу N Ф09-1246/2000-ГК суд прямо указал, что в предоставлении информации, составляющей коммерческую тайну, есть ограничения, следовательно, акционерное общество вправе не допускать своих акционеров к документам, которые составляют коммерческую тайну.

Тональность решения стала резко меняться к концу нулевых годов. Показательно в этом отношении Постановление Федерального арбитражного суда Северо-Кавказского округа от 14.12.2010 г. № А32-18173/2009 по иску о предоставлении бухгалтерской отчетности ООО «ЮгРеестр» его участнику – ОАО «Финансовый партнер». Суд указал, что возможность разглашения участниками предоставленной конфиденциальной информации о деятельности общества не может служить основанием для отказа в удовлетворении законных требований. Право участника общества на ознакомление с документами общества является неограниченным. Невыполнение участником общества либо его представителем обязанности не разглашать конфиденциальную информацию, не является основанием для отказа в реализации указанного права участника, а может служить основанием для применения мер гражданско-правовой ответственности или исключения из числа участников общества.

Отсюда еще один рецепт для обладателей коммерческих секретов: ищите новые формулировки, позволяющие охранять в режиме коммерческой тайны финансовую информацию, изменяйте содержание протоколов органов управления. Категорий сведений, которые могут охраняться в режиме коммерческой тайны, становится все меньше. Тем большее внимание надо уделять защите тех, которые действительно требуют обеспечения конфиденциальности на деле, а не на бумаге, и остаются под охраной их законных владельцев.

2012 год: пожелания

Уважаемые читатели блога, партнеры, клиенты, заказчики и просто хорошие люди, с которыми мы работаем и надеемся поработать!

С Новым 2012 годом всех Вас!

Удачи, новых свершений и новых успехов в Новом году!

Надежных партнеров, добросовестных поставщиков, компетентных и опытных консультантов, грамотных и интересных преподавателей!

Доброжелательных и объективных проверяющих, понимающих и вникающих контролирующих, мудрых помогающих!

Здоровья для реализации всех планов и задумок!

И отличного настроения!

Искренне Ваши «Емельянников, Попова и партнеры»

Блуждая между Трудовым кодексом и ФЗ-152: сведения о состоянии здоровья работника

Наши думцы вот уже шесть лет не могут привести законодательство о персональных данных к единому знаменателю. Приняв в первом чтении 25 ноября далекого уже 2005 года проект федерального закона № 217355-4 «О внесении изменений в некоторые законодательные акты РФ в связи с принятием ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных» и ФЗ «О персональных данных», дальше парламентарии сдвинуться так и не смогли. 24 февраля 2009 года проект был в очередной раз направлен Президенту РФ, в комитеты и комиссию Госдумы, Правительство РФ, Верховный Суд РФ с просьбой представить новую порцию поправок к 30 апреля 2009 года. Давно прошел и этот срок, а воз и ныне…

Между тем, по оценке Роскомнадзора, вопросы обработки персональных данных так или иначе затрагивают 75 международных договоров, подписанных Россией, 13 кодексов, более 100 законов и 250 актов Правительства. И далеко не все вопросы в них трактуются одинаково.

И пока все эти документы не гармонизированы, плутать в их лабиринте приходится самим, анализируя, сопоставляя и пытаясь и закон не нарушить, и жизнь не остановить.

В последнее время я писал о противоречиях законодательства о персональных данных и особенностях его применения, связанных с отнесением сведений к биометрическим данным, созданием общедоступных справочников и размещением баз данных на интернет-сайтах, специфике реализации требований в сбытовых компаниях, интернет-магазинах и образовательных учреждениях.

В сегодняшнем посте – одна из двух проблем, с которой сталкиваются все без исключения операторы персональных данных (читай – предприятия и организации) страны: обработка сведений о состоянии здоровья работника. Вторая, о возможности получения и использования персональных данных близких родственников работника, будет рассмотрена в следующий раз.

Обрабатывать сведения о состоянии здоровья своих работников любой работодатель просто вынужден – без листков нетрудоспособности ни в одном кадровом органе и бухгалтерии не обойтись, а многие еще и вынуждены проводить медицинское освидетельствование персонала перед допуском их к выполнению работы – водителей, пилотов и много кого еще. Есть еще вопросы, связанные с ограничением трудоспособности, инвалидностью и т.п.

Как известно, сведения о состоянии здоровья относятся к специальной категории персональных данных, и их обработка возможна или с согласия субъекта в письменной форме, или в случаях, прямо предусмотренных ФЗ-152. Таких случаев совсем немного, и применительно к деятельности кадрового органа и бухгалтерии предприятия, они сводятся всего к двум:

·      обработка персональных данных в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях;

·      обработка персональных данных в соответствии с законодательством об обязательных видах страхования, со страховым законодательством.

А что по этому поводу гласит трудовое законодательство? Трудовой кодекс запрещает запрашивать информацию о состоянии здоровья работника, за исключением сведений, относящихся к вопросу о возможности выполнения работником трудовой функции. Т.е., если стоит вопрос о выполнении трудовых обязанностей или возможности невыхода на работу, – запрашивать сведения можно.

Что ж, уже что-то.

Из сопоставления норм ФЗ-152 и ТК РФ делаем вывод: сведения о состоянии здоровья, относящиеся к возможности выполнения трудовой функции (инвалидность, временная нетрудоспособность, беременность, соответствие параметров здоровья допустимым при решении вопроса о допуске к работе) работодатель обрабатывает законно, и никаких специальных, тем более письменных, согласий работников на это не нужно.

А вот если работодатель организует, например, диспансеризацию, и хочет познакомиться с ее результатами, сделать это без согласия работников никак нельзя. Исключения могут быть допущены только для работников, обязанных иметь санитарные книжки, – персонала медицинских и детских учреждений, продавцов и т.п. или требующих обязательного медицинского освидетельствования или осмотра – водителей, летного и судового состава, работников железнодорожного транспорта и т.д.

В остальных случаях ответственность за незаконную обработку специальных категорий персональных данных будет нести как работодатель, так и медицинское учреждение, предоставившее эти сведения. Пример – привлечение по представлению прокуратуры к ответственности по ст.13.14 КоАП Горно-Алтайским городским судом главврача районной больницы, который передал на предприятие сведения о диагнозах его работниц после прохождения ими медосмотра.

Биометрические персональные данные: что это?

После выхода информационного письма № 5 Ассоциации российских банков, в подготовке которого принимал участие и я, в ИБ-блогах Рунета активно обсуждаются отдельные его положения, в частности, у Игоря Бурцева, у Алексея Волкова, у Алексея Лукацкого, у BSAT devteam, наверное, где-то еще.

Не имея возможности участвовать в обсуждении проблем в каждом из этих мест, хотел бы высказать свою точку зрения только по одному из рассматриваемых в письме вопросов – относительно отнесения фотографических изображений к биометрическим персональным данным.

В письме АРБ разъясняется, что «фотография или видеозапись, на которой запечатлен человек, могут считаться биометрическими данными (является носителем биометрических ПДн) только в том случае, если они представлены в электронном виде и получены с применением специальных технологий и технических средств, позволяющих выполнять определенные требования, предъявляемые к форматам записи изображения (например, в случае фотографии установленные ГОСТ Р ИСО\ МЭК 19794-5-2006)».

При глубочайшем уважении к экспертам, подготовившим это разъяснение, и чиновникам, создавшим почву для него, категорически не могу с ним согласиться. И вот почему.

Основанием для такого критерия отнесения к биометрии, как соответствие ГОСТу, в письме № 5 называется ответ Роскомнадзора на запрос ЗАО «Коммерцбанк» от 05.04.2010 № ПК-05728.

Обратите внимание на дату письма. Направлено оно до принятия ФЗ-261 25.07.2011, который в новой редакции ФЗ-152 уточнил понятие биометрических персональных данных, регулируемых данным законом. Последние слова – ключевые. Мы сейчас говорим именно о тех данных, обработка которых регулируется ФЗ-152. А на самом деле их может быть гораздо больше, и признаки отнесения к ним надо искать совсем в других законах – о геномной и дактилоскопической регистрации, об основах здравоохранения, о въезде-выезде и т.д. В законе о персональных данных установлено три важнейших критерия, при соответствии которым обработку этой категории данных надо строить именно по ФЗ-152.

Биометрические персональные данные, обработка которых регулируется ФЗ-152, это данные:

·         которые характеризуют физиологические и биологические особенности человека;

·         на основе которых можно установить его личность;

·         которые используются оператором для установления личности субъекта персональных данных.

Все. Точка. Ни про какие ГОСТы в законе нет и не может быть ни слова. По одной простой причине. В соответствии с ФЗ «О техническом регулировании», стандарт – это документ, в котором в целях добровольного многократного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов эксплуатации, хранения,  выполнения работ или оказания услуг. Стандарт также может содержать правила отбора образцов, требования к терминологии, символике, упаковке, маркировке или этикеткам и правилам их нанесения.

И здесь ключевое слово – добровольного. Это подтверждено и в ст.12 данного закона: «Стандартизация осуществляется в соответствии с принципами добровольного применения документов в области стандартизации». Поэтому относить или не относить те или иные вопросы к регулируемым федеральным законом на основании положений ГОСТа никак нельзя.

Далее. Национальные стандарты могут использоваться полностью или частично в качестве основы для разработки проектов технических регламентов. Вот будет техрегламент по биометрическим данным – все станет просто.

Поэтому нет никаких оснований не считать биометрическими персданными фото в системе контроля управления доступом (СКУД), которые так модно стало ставить в офисах и на предприятиях. И СКУД, где есть фамилии работников, – это ИСПДн со всеми вытекающими. И если ФИО нет – тоже, но класса К4, поскольку произведено обезличивание персональных данных, и в системе невозможно определить принадлежность персональных данных конкретному субъекту без использования дополнительной информации.

Скан паспорта – тоже носитель биометрических персональных данных, обрабатываемых вне ИСПДН, но находящийся в систематизированном собрании банка, например, и поскольку существует четкий алгоритм поиска этих данных, их хранение или любая другая обработка подпадают под действие ФЗ-152. И фото в личном деле тоже, даже если его сделал фотограф, никогда не слышавший про ГОСТ, ИСО и МЭК. По той же причине – характеризует физиологические особенности, используется для идентификации и находится в систематизированном собрании.

Собственно, если посмотреть акты и предписания надзорных органов, именно это в них и пишется.

Можно затеять длинный спор про пропуска с фото (используются для идентификации, но находятся вне систематизированных хранилищ/картотек, непосредственно у работника), но это отдельная песня.

Так что я не стал бы обольщаться и откладывать проблему с фото в долгий ящик, надеясь на то, что все проверяющие согласны с позицией уважаемого профессионального сообщества. Особенно если это происходит не в банке, а на заводе или в турфирме, где заступиться за оператора, кроме суда, некому.

Мне кажется, в данном случае проще выполнить закон.

Как уберечь персональные данные: рецепты для энергосбыта

Все по классику, по графу Льву Николаевичу. Все семьи счастливы одинаково, каждая несчастная семья несчастлива по-своему. Как только начинаешь углубляться в проблемы реализации законодательства о персональных данных (ПДн) в конкретной области деятельности, всплывает масса нюансов  и противоречий. Есть свои особенности и в области энергосбыта.

О том, какие проблемы возникают на пути реализации законодательства о персональных данных у энергосбытовых компаний и как их можно решить, о последовательных шагах на пути достижения соответствия требованиям законодательства, об особенностях, связанных с наличием оснований на обработку ПДн определенных категорий субъектов, об обеспечении конфиденциальности персданных в компаниях отрасли, о проектировании и построении системы их защиты, решении проблемы "зоопарка" применяемых средств защиты и их совместимости и пр. – в новой статье на портале CNews.

Полностью статья «Защита персональных данных в организациях ТЭК» опубликована компанией «Код безопасности» здесь.

Коммерческая тайна: кругом-МАРШ!

Складывается впечатление, что область использования института коммерческой тайны в последнее время неуклонно сокращается, причем происходит это на государственном уровне. При этом нельзя сказать, что государство стремится к тайнам частного бизнеса, ограничивая права владельцев информации на отнесение сведений к категории коммерческих секретов. Никакой очевидной логики увидеть не удается, а факт остается фактом.

Началось это еще 1 января 2008 г., когда вступили в силу Четвертая часть Гражданского кодекса и новая редакция ФЗ «О коммерческой тайне».

Одним росчерком пера законодателей были введены три тождества:

• Информация, составляющая коммерческую тайну = ноу-хау
• Информация, составляющая коммерческую тайну = секрет производства (оба равенства – в ФЗ «О коммерческой тайне)
• Секрет производства = ноу-хау (в 4-й части Гражданского кодекса).

Сделано это было с присущей нашим законодателям элегантностью и, одновременно, иезуитством.

В ФЗ «О коммерческой тайне» (98-ФЗ) используются две конструкции: в ст.1 - «в отношении информации, составляющей секрет производства (ноу-хау)» и в ст.3 «информация, составляющая коммерческую тайну (секрет производства)».

В 4-й части ГК РФ два равенства сокращены до одного в ст.ст.1225 и 1465: «секрет производства (ноу-хау)».

Из этих пассажей всякому, изучавшему арифметику Магницкого, формальную или математическую логику (что-нибудь одно на выбор), ясно, что:

Информация, составляющая коммерческую тайну (ИКТ) = секрет производства = ноу-хау.

Причем всем трем понятиям (зачем три?) и в ГК РФ, и в 98-ФЗ дается одно и тоже определение: «сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-технической сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны».

А теперь вопрос: может ли иметь коммерческую тайну организация, не ведущая производственную деятельность? С одной стороны, очевидно, что да: информация-то любая, в том числе организационного и экономического характера.

А с другой стороны секрет производства все-таки.

На всякий случай, дабы в суде не закопали, обладатели исключительных прав на секреты свои перечни ИКТ почистили.

Дальше – больше. Раньше вопросы о допуске аукционеров к ИКТ решались просто.

Например, из Постановления Федерального арбитражного суда Уральского округа от 07.09.2000 г. по делу № Ф09-1246/2000-ГК (иск ОАО «СаСКо-стокс» к ОАО «Уралсвязьинформ» о предоставлении копий документов бухгалтерского учета): «В предоставлении информации, составляющей коммерческую тайну, есть ограничения. Следовательно, АО вправе не допускать своих акционеров к документам, которые составляют коммерческую тайну». Просто и ясно.

Но уже в 2006 г. сразу два арбитражных суда обязали раскрыть данные бухгалтерского учета владельцам пакетов, состоящих более чем из 25% акций, исходя из неограниченности права акционеров на доступ к информации, предусмотренной п.1 ст.91 и п.1 ст.89 закона «Об акционерных обществах».

Дело с бухгалтерской отчетностью законодатели довели до логического конца.

22 ноября этого года Дума приняла, а 29 ноября Совет Федерации одобрил и направил на подпись Президенту новую редакцию ФЗ «О бухгалтерском учете». В новой редакции из ст.10 бесследно исчезла часть 4, гласившая, что «содержание регистров бухгалтерского учета и внутренней бухгалтерской отчетности является коммерческой тайной. Лица, получившие доступ к информации, содержащейся в регистрах бухгалтерского учета и во внутренней бухгалтерской отчетности, обязаны хранить коммерческую тайну». Более, в ч.11 ст.13 появился новый императив, перечеркивающий всю предшествующую практику: «В отношении бухгалтерской (финансовой) отчетности не может быть установлен режим коммерческой тайны». Опять – просто и ясно.

Я обещал рецепты.

Их по поводу изложенного два.

Первый. Тем, у кого установлен режим коммерческой тайны – пересматривайте перечни ИКТ. Наличие в перечне неохраноспособной информации может явиться основанием для оспаривания его в суде, а в случае принятия такого решения – основанием для признания неправомерности установленного режима КТ в целом со всеми вытекающими последствиями.

А второй – после продолжения темы.