Работа всех операторов персональных данных не только регулируется законодательными актами, но еще и подвергается регулярным проверкам, как плановым, так и выборочным, например, по заявлению пострадавшего от их деятельности граждан.
Контролем над соблюдением закона о защите персональных данных должны заниматься многие надзорные и силовые ведомства, но в силу специфики работы выделяются лишь три из них (их и называют регуляторами):
· Роскомнадзор – в его функции входит проверка соблюдения любых нормативных требований законодательства, а также проведение проверок;
· ФСТЭК (Федеральная служба по техническому и экспортному контролю) – в ее задачи входит в первую очередь защита данных находящихся в компьютерах самой организации, так и каналов их передачи, когда они хранятся и передаются без шифрования;
· ФСБ (Федеральная служба безопасности) – контролирует применение шифрующих средств обработки и передачи персональных информации, в том числе разработку и их распространение.
Уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки персональных данных требованиям Федерального закона "О персональных данных", является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи — Роскомнадзора.
Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение.
В отношении персональных данных, ставших известными уполномоченному органу по защите прав субъектов персональных данных в ходе осуществления им своей деятельности, должна обеспечиваться конфиденциальность персональных данных.
Уполномоченный орган по защите прав субъектов персональных данных обязан:
1) организовывать в соответствии с требованиями настоящего Закона и других федеральных законов защиту прав субъектов персональных данных;
2) рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений;
3) вести реестр операторов. Сроки, последовательность административных процедур и административных действий Роскомнадзора и его территориальных органов, а также порядок взаимодействия Роскомнадзора и его территориальных органов с операторами, осуществляющими обработку персональных данных, при осуществлении полномочий по ведению реестра операторов, осуществляющих обработку персональных данных закреплены в Административном регламенте Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций но предоставлению государственной услуги "Ведение реестра операторов, осуществляющих обработку персональных данных", утвержденном приказом Минкомсвязи России от 21.12.2011 № 346;
4) осуществлять меры, направленные на совершенствование защиты прав субъектов персональных данных;
5) принимать в установленном законодательством РФ порядке по представлению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, или федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, меры по приостановлению или прекращению обработки персональных данных;
6) информировать государственные органы, а также субъектов персональных данных по их обращениям или запросам о положении дел в области защиты прав субъектов персональных данных;
7) выполнять иные предусмотренные законодательством РФ обязанности.
Уполномоченный орган по защите прав субъектов персональных данных ежегодно направляет отчет о своей деятельности Президенту РФ, в Правительство РФ и Федеральное Собрание РФ, который подлежит опубликованию в СМИ.
Лица, виновные в нарушении требований законодательства РФ о персональных данных, несут уголовную, административную, гражданско-правовую и дисциплинарную ответственность.
Уголовная ответственность установлена за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или СМИ (ст. 137 УК РФ).
Должностные лица могут быть привлечены к уголовной ответственности по ст. 140 УК РФ, если неправомерно откажут гражданину в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставят гражданину неполную или заведомо ложную информацию, если эти деяния причинили вред правам и законным интересам граждан.
За неправомерный доступ к компьютерной информации также предусмотрена уголовная ответственность. Виновные лица будут наказаны по ст. 272 УК РФ, если ими будет незаконно получена информация, содержащаяся на машинном носителе, в ЭВМ, системе ЭВМ или их сети, при условии, что это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети.
Административная ответственность предусмотрена за неправомерный отказ в предоставлении гражданину и (или) организации информации, предоставление которой предусмотрено федеральными законами, несвоевременное ее предоставление либо предоставление заведомо недостоверной информации (ст. 5.39 КоАП РФ).
Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) влечет предупреждение или наложение административного штрафа на граждан в соответствии со ст. 13.11 КоАП РФ.
Административная ответственность предусмотрена за разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей (ст. 13.14 КоАП РФ).
Статья 19.7 КоАП РФ устанавливает ответственность за непредставление или несвоевременное представление уведомления об обработке персональных данных или иной информации по запросу уполномоченного органа.
Использование операторами персональных данных несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (за исключением средств защиты информации, составляющей государственную тайну), влечет административную ответственность в соответствии со ст. 13.12 КоАП РФ.
Статьей 13.13 КоАП РФ предусматривается ответственность за незаконную деятельность в области защиты информации. Так, занятие видами деятельности в области защиты информации (за исключением информации, составляющей государственную тайну) без получения в установленном порядке специального разрешения (лицензии), если такое разрешение (такая лицензия) в соответствии с федеральным законом обязательно (обязательна), влечет наложение административного штрафа на граждан, должностных лиц и юридических лиц.
В рамках гражданско-правовой ответственности субъект персональных данных в судебном порядке может требовать также возмещения убытков и (или) компенсации морального вреда.
К работникам, нарушившим законодательство о персональных данных, могут применяться меры дисциплинарной ответственности. Статья 192 ТК РФ предусматривает такие виды дисциплинарных взысканий, как замечание; выговор; увольнение по соответствующим основаниям.
С работниками организации, имеющими доступ к персональным данным других работников, партнеров или клиентов организации следует заключать соглашения об обеспечении конфиденциальности данных. В случае нарушения взятых на себя обязательств работник, имеющий доступ к чужим персональным данным, может быть уволен по основаниям п. "в" ст. 81 ТК РФ за разглашение охраняемой законом тайны, в том числе разглашение персональных данных другого работника.