Какие нормативные правовые акты регулируют обработку персональных данных

Перечень источников регулирования установлен в ст. 4 152-ФЗ «О персональных данных». Она позволяет ответить, какие нормативно-правовые акты регулируют обработку сведений о человеке, и понять связь между ними. Субъект персональных данных — человек, к которому относятся сведения. Оператор — тот, кто организует или осуществляет их обработку. Для обоих имеет значение не только содержание конкретного правила, но и то, каким актом оно установлено. Статья разграничивает законодательную основу и акты, которые принимаются по отдельным вопросам во исполнение законов.

По ч. 1 ст. 4 152-ФЗ законодательство в этой области основывается на Конституции Российской Федерации и международных договорах Российской Федерации. Само законодательство состоит из 152-ФЗ и других федеральных законов, определяющих случаи и особенности обработки персональных данных. Поэтому поиск применимого правила нельзя ограничивать названием одного закона. Перечень применимых федеральных законов нужно подбирать для конкретной обработки: уточните, какие данные обрабатываются и для какой цели, затем проверьте законы, регулирующие соответствующие случаи и особенности обработки.

Следующий уровень раскрыт в ч. 2 ст. 4 152-ФЗ. Государственные органы, Банк России и органы местного самоуправления вправе принимать акты по отдельным вопросам обработки. Основанием служат федеральные законы, а цель принятия — их исполнение. Каждый из перечисленных участников действует в пределах собственных полномочий. Это означает, что одного упоминания персональных данных в документе недостаточно для объяснения его места в системе регулирования. Нужно учитывать, кто его принял, на какой закон он опирается и какой именно вопрос обработки регулирует.

У таких актов есть содержательные пределы. Часть 2 ст. 4 152-ФЗ не допускает положений, ограничивающих права субъектов персональных данных. Также нельзя вводить ограничения деятельности операторов или возлагать на них обязанности, которых не предусматривают федеральные законы. Для человека это существенно, когда ограничение его прав объясняют ссылкой на акт по отдельному вопросу обработки. Для оператора имеет значение источник предъявляемой обязанности: сама возможность принять такой акт не дает принявшему его органу неограниченной свободы устанавливать требования. Та же часть статьи предусматривает официальное опубликование этих актов.

Отдельное положение касается обработки без использования средств автоматизации. По ч. 3 ст. 4 152-ФЗ ее особенности могут устанавливаться федеральными законами и иными нормативными правовыми актами Российской Федерации. При этом должны учитываться положения 152-ФЗ. Следовательно, отсутствие автоматизации не выводит обработку из правового регулирования. Для ответа на вопрос об источниках правил нужно учитывать и способ работы со сведениями. Статья допускает специальные особенности для такой обработки, но не содержит их подробного перечня и не заменяет собой соответствующие правила.

Для некоторых актов установлен дополнительный порядок согласования. Согласно ч. 3.1 ст. 4 152-ФЗ он относится к актам, принимаемым по ч. 2 этой статьи, если они регулируют перечисленные в норме отношения. Речь идет о передаче персональных данных через границу, об обработке специальных категорий данных, биометрических данных и данных несовершеннолетних. В перечень также входят предоставление и распространение данных, полученных в результате обезличивания. Обезличивание здесь упоминается как условие выделения определенной группы сведений. Согласование с уполномоченным органом по защите прав субъектов персональных данных для перечисленных случаев обязательно. Распространять это требование на любой акт об обработке на основании этой части нельзя.

Международные договоры имеют самостоятельное значение. Часть 4 ст. 4 152-ФЗ предусматривает применение правил международного договора Российской Федерации, если они отличаются от правил этого федерального закона. Здесь речь идет о разрешении расхождения между правилами, а не просто о включении договора в общий перечень источников. Поэтому при объяснении правовой основы обработки нельзя считать 152-ФЗ единственным возможным ориентиром. Для конкретной обработки проверьте, действует ли применимый к ней международный договор Российской Федерации, и сопоставьте его правила с требованиями 152-ФЗ.

Наконец, ч. 5 ст. 4 152-ФЗ касается решений межгосударственных органов, принятых на основании международных договоров. Если истолкование положений договора в таком решении противоречит Конституции Российской Федерации, решение не подлежит исполнению в Российской Федерации. Установление противоречия происходит в порядке, определенном федеральным конституционным законом. Это отдельное правило о решениях межгосударственных органов; его нельзя подменять общим утверждением о неприменении международных договоров. Система источников охватывает несколько уровней регулирования, а ст. 4 связывает их через основания принятия актов, пределы их содержания и правила применения.