Что оператор персональных данных вправе определять самостоятельно

Какие права есть у оператора персональных данных и что именно он вправе определять сам, раскрывают ст. 3 152-ФЗ и ст. 18.1 Закона № 152-ФЗ. Первая связывает статус оператора с решениями о целях обработки, составе информации и действиях с ней. Вторая позволяет выбирать состав и перечень мер, которыми оператор обеспечивает исполнение своих обязанностей. Это разные стороны самостоятельности: организация самой обработки и обеспечение её соответствия закону.

Оператор — тот, кто организует или осуществляет обработку и определяет её цели, состав данных и операции с ними. По ст. 3 152-ФЗ им может быть орган власти, юридическое или физическое лицо. Обработка может вестись самостоятельно либо совместно с другими лицами. Право принимать решения об обработке нельзя связывать исключительно с наличием компании: определение закона охватывает и другие случаи. Существенно, какие решения лицо принимает и какую роль выполняет.

Цель обработки отвечает на вопрос, зачем оператору сведения о человеке. Состав данных показывает, какую именно информацию он будет обрабатывать. Действия с данными описывают, что с этой информацией происходит. По ст. 3 152-ФЗ обработка охватывает, например, сбор, хранение, уточнение, использование, передачу и уничтожение. Следовательно, решения оператора касаются не только получения информации, но и последующего обращения с ней. Само перечисление операций в определении не означает разрешения совершать каждую из них без соблюдения закона.

Выбор мер исполнения обязанностей регулирует ч. 1 ст. 18.1 Закона № 152-ФЗ. Меры должны быть необходимыми и достаточными: оператору нужно обеспечить исполнение требований, а не просто составить удобный для себя список. Самостоятельное определение перечня допускается с оговоркой: этот или другие федеральные законы могут предусматривать иное. При этом из права выбора не следует право отказаться от обязательной меры только потому, что оператор считает её лишней.

Для оператора, являющегося юридическим лицом, ч. 1 ст. 18.1 Закона № 152-ФЗ называет назначение ответственного за организацию обработки и издание документов. Среди них — политика обработки и локальные акты, то есть внутренние правила оператора. В таких актах для каждой цели отражают категории и перечень данных, категории людей, чьи сведения обрабатываются, способы и сроки обработки и хранения. Также описывают порядок уничтожения информации при достижении целей или появлении иных законных оснований. Эти решения должны быть связаны с конкретными целями, а не существовать в виде общего перечня без пояснений.

У внутренних правил есть прямой предел. Согласно ч. 1 ст. 18.1 Закона № 152-ФЗ они не могут ограничивать права субъектов персональных данных — людей, к которым относится информация. Нельзя также включать в них не предусмотренные законодательством полномочия и обязанности оператора. Даже если локальный акт уже подписан, оператору нужно исключить из него такие положения. При оценке самостоятельности нужно смотреть не только на наличие документа, но и на содержание установленных правил.

Перечень мер в ч. 1 ст. 18.1 Закона № 152-ФЗ включает внутренний контроль или аудит. Их задача — сопоставлять обработку с законом, требованиями защиты, политикой и локальными актами оператора. Также предусмотрена оценка возможного вреда людям при нарушении закона и соотношение этого вреда с принимаемыми мерами. Выбор мер связан с тем, что они должны обеспечивать на практике, а не только с тем, как они названы в документах.

Отдельная часть организации обработки касается работников. Часть 1 ст. 18.1 Закона № 152-ФЗ предусматривает ознакомление тех, кто непосредственно обрабатывает данные, с законодательными требованиями, политикой и внутренними актами, а также возможность их обучения. Здесь самостоятельность оператора выражается в организации исполнения обязанности. Наличие политики ещё не означает, что работники ознакомлены с правилами, которыми должны руководствоваться при обращении с информацией.

Политика обработки не может оставаться исключительно внутренним документом. Часть 2 ст. 18.1 Закона № 152-ФЗ обязывает обеспечить к ней неограниченный доступ и раскрыть сведения о реализуемых требованиях защиты. Если данные собирают через информационные сети, публикация требуется в соответствующей сети, в том числе на страницах сайта, через которые ведётся сбор. Решение о том, какие меры применять, не включает право скрыть политику от людей.

Наконец, самостоятельный выбор должен допускать подтверждение. По ч. 4 ст. 18.1 Закона № 152-ФЗ оператор по запросу уполномоченного органа представляет документы и локальные акты либо иным способом подтверждает принятие мер. Для государственных и муниципальных органов предусмотрено особое правило: перечень мер устанавливает Правительство Российской Федерации согласно ч. 3 той же статьи. Общую формулу о самостоятельности нельзя переносить на всех операторов без учёта этого ограничения.