Статья. «Что в имени твоем?»

(Н. А. Наумова, А. М. Битерякова)

(«Аптечный бизнес», 2006, № 9)

Информация о конкретном человеке — это и тайна личности, и собственность, и товар. Где гарантия, что персональные данные не будут продаваться на рынках? Каковы механизмы их защиты?

Особым институтом права на неприкосновенность частной жизни в условиях автоматизации и развития новых информационных технологий является институт персональных данных. Законодательство, цель которого защита прав человека при обработке данных о нем, основывается на Конституции Российской Федерации и ряде Федеральных законов, определяющих особые случаи их использования.

27 июля 2006 года принят Федеральный закон РФ № 152-ФЗ «О персональных данных», который вступает в силу по истечении 180 дней со дня его официального опубликования. Настоящим законом регулируются отношения, связанные с обработкой персональных данных, осуществляемой органами власти различных уровней, юридическими и физическими лицами с использованием средств автоматизации или без использования таких средств. Согласно закону, персональные данные — любая информация, относящаяся к определенному физическому лицу (субъекту персональных данных), в том числе: его фамилия, имя, отчество, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация. Обработка персональных данных включает их сбор, систематизацию, накопление, хранение, использование, распространение.

Она должна осуществляться с письменного согласия физического лица на основе таких принципов, как законность и достоверность.

В фармации используются персональные данные при внедрении программ привлечения и поощрения покупателей. Управляющие программами лояльности (ПЛ) знают почти все о своих потребителях. Увлечение этими технологиями объясняется желанием собственников увеличить объем получаемой прибыли за счет удержания клиентов. Суть программ лояльности — в персонифицированном взаимодействии с покупателем, личностном отношении к его требованиям. Система лояльности предполагает постоянную связь с клиентом, отслеживание его покупок. Для успешного функционирования программы необходим анализ и исследования результатов каждого шага взаимодействия с потребителем. Основной инструмент ПЛ — база данных. Чтобы обеспечить такое условие, потребителю при получении карточки постоянного клиента предлагается заполнить анкету с подробными данными о себе (пример анкеты в приложении). Используя эту информацию, аптечный ритейлер определяет социально-демографический портрет клиента, его потребительские предпочтения. В дальнейшем карта пополняется новыми сведениями о ее владельце: число покупок, категории приобретаемых товаров, динамика роста среднего чека и др. При использовании подобных технологий, анализируя базу данных, становится легче выявлять и понимать желания покупателей, их потребности и приоритеты, но ставит под угрозу право гражданина на защиту его персональных данных.

В последнее время наметилась тенденция создания ко-брэндинговых программ, в которых участвуют различные предприятия из разных сфер бизнеса. Такие ПЛ функционируют в автоматизированном режиме. В качестве идентификаторов клиентов используются карты с микросхемами, позволяющие накапливать достаточно большой объем информации. Участие в таких ПЛ выгодно и для покупателя, и для ритейлера. Покупатель, имея одну карту, пользуется ею во всех торговых точках коалиции, накапливая бонусы. В свою очередь участники коалиции располагают обширной совместной клиентской базой. Наличие такой базы дает компаниям ряд преимуществ в деле управления взаимоотношениями с клиентами. Как известно, не все покупатели равноценны. С помощью автоматизированной программы лояльности можно определять и удерживать лучших, приносящих наибольшую прибыль. История покупок позволяет классифицировать наиболее интересных для компании клиентов, выявить для своих товаров и услуг собственное соотношение 20:80. Те самые 20% клиентов, которые будут совершать 80% покупок. Именно на эти 20% покупателей в дальнейшем фирма будет ориентировать свою систему продаж и послепродажного обслуживания, делая им различные специальные предложения. Это позволит увеличить доходы и снизить расходы на неперсонализированную рекламу.

Однако нужно помнить, что обработка персональных данных в целях продвижения товаров, работ, услуг на рынке допускается только при условии предварительного согласия потребителя. Указанная обработка признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено. Физическое лицо, принимая решение о предоставлении своих персональных данных, дает согласие на их обработку. Письменное согласие должно включать:

1). фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

2). наименование (фамилия, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;

3). цель обработки персональных данных;

4). перечень персональных данных, на обработку которых дается согласие;

5). перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов их обработки;

6). срок, в течение которого действует согласие, а также порядок его отзыва.

Согласие на обработку своих персональных данных может быть отозвано субъектом в любое время. Оператор обязан немедленно прекратить по требованию субъекта обработку этих данных и уничтожить их в срок, не превышающий трех рабочих дней с момента поступления указанного отзыва. Об уничтожении информации оператор обязан уведомить субъекта персональных данных.

Физическое лицо имеет право на получение информации, касающейся обработки его персональных данных, а также на ознакомление с этими данными при обращении либо предъявлении запроса, в т.ч. в электронном виде. Субъект персональных данных вправе требовать от оператора уничтожения информации о себе в случаях, если персональные данные являются недостоверными или незаконно полученными и если цели обработки не соответствуют заявленным. Он также вправе принимать предусмотренные законом меры по защите своих прав, в том числе на возмещение убытков и компенсацию морального вреда: обжаловать действия или бездействие оператора в уполномоченный орган или в судебном порядке. Уполномоченным органом по защите прав субъектов персональных данных, на который возлагается обеспечение контроля и надзора за соответствием обработки этих данных требованиям настоящего Федерального закона, является федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи. Лица, виновные в нарушении требований закона, несут гражданскую, уголовную, административную, дисциплинарную и иную ответственность, предусмотренную законодательством Российской Федерации.

После вступления в силу закона «О персональных данных» согласно статьи 22 оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку таких данных. Уведомление должно быть направлено в письменной форме и подписано уполномоченным лицом или направлено в электронной форме и подписано электронной цифровой подписью в соответствии с законодательством Российской Федерации. Уведомление должно содержать следующие сведения:

1). наименование (фамилия, имя, отчество), адрес оператора;

2). цель обработки персональных данных;

3). категории персональных данных;

4). категории субъектов, персональные данные которых обрабатываются;

5). правовое основание обработки персональных данных;

6). перечень действий с персональными данными, общее описание используемых оператором способов их обработки;

7). описание мер, которые оператор обязуется осуществлять по обеспечению безопасности персональных данных при их обработке;

8). дату начала обработки персональных данных;

9). срок или условие прекращения обработки персональных данных.

Уполномоченный орган по защите прав субъектов персональных данных в течение тридцати дней с момента поступления уведомления вносит эти сведения, а также сведения о дате направления указанного уведомления, в реестр операторов. Сведения, содержащиеся в реестре операторов, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, являются общедоступными.

Еще одним нормативно-правовым актом, регулирующим отношения, связанные с использованием персональных данных, является Трудовой кодекс РФ. В соответствии со статьей 85 ТК РФ персональные данные работника — это информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. В целях обеспечения прав и свобод человека и гражданина работодатель и его представители при обработке персональных данных работника обязаны соблюдать установленные законом требования, в том числе:

• все персональные данные работника следует получать у него самого;
• если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие;
• работодатель должен сообщить работнику о целях, характере, предполагаемых источниках и способах получения персональных данных, а также о последствиях отказа работника дать письменное согласие на их получение;
• работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В необходимых случаях данные о частной жизни работника используются только с его письменного согласия;
• при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на данных, полученных исключительно в результате их автоматизированной обработки или электронного получения;
• защита персональных данных работника от неправомерного их использования или утраты должна быть обеспечена работодателем за счет его средств, в порядке, установленном законодательством РФ.

Также работодатель не имеет права сообщать персональные данные работника третьей стороне без его письменного согласия, за исключением случаев, предусмотренных законодательством РФ. Он обязан предупредить лиц, получающих персональные данные работника, о том, что они могут быть использованы лишь в целях, для которых сообщены.

Доступ к персональным данным работников в организации разрешается специально уполномоченным лицам. Указанные лица имеют право получать только данные, необходимые для выполнения конкретных функций. По закону нельзя запрашивать информацию о состоянии здоровья работника, за исключением тех сведений, которые относятся к вопросу о возможности исполнения им трудовой деятельности.

В свою очередь, работники имеют право на свободный бесплатный доступ к своим персональным данным, хранящимся у работодателя, включая право на получение копий любой записи, затрагивающей их интересы. Они вправе требовать исправления или исключения обнаруженных неверных или неполных данных о себе. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения.

Хотелось бы акцентировать внимание руководителей на том, что по закону в организации разрабатывается локальный нормативный акт, устанавливающий порядок обработки персональных данных, с которым работники должны быть ознакомлены под роспись, так же, как и со своими правами и обязанностями в этой области. В фармацевтической практике нередки случаи нарушения этих прав. Вот некоторые примеры. Фармацевт уволен из аптеки по собственному желанию. При трудоустройстве в другую аптечную организацию, в отделе кадров ему заявили, что звонили руководителю на прежнее место работы и тот плохо охарактеризовал уволившегося. Как можно оценить данную ситуацию с позиций законодательства о защите персональных данных? Во-первых, следует обратить внимание на нарушение законодательства руководителем с предыдущего места работы, который не имел права без письменного согласия работника распространять информацию о нем, о его личностных качествах (статья 88 ТК РФ). Во-вторых, представителями администрации аптеки, в которую устраивался на работу фармацевт, нарушена статья 86 ТК РФ, требующая получения персональных данных работника от него самого.

Также бывают случаи, когда в организацию поступают звонки с просьбой дать информацию о работнике. Например, такого характера: работает ли он в данной организации, на какой должности, просят сообщить номер домашнего телефона или адрес и др. С позиций законодательства о персональных данных, любую информацию, затрагивающую интересы конкретного человека, можно предоставлять третьим лицам только с его письменного разрешения.

Иногда информацию о персональных данных путают с коммерческой тайной. В частности, представители работодателя, выплачивающие часть заработной платы в конвертах, требуют от работников неразглашения информации об их содержании, аргументируя тем, что эти сведения относятся к коммерческой тайне предприятия. Здесь нужно вспомнить Федеральный закон от 29.07.04 № 98-ФЗ «О коммерческой тайне», в статье 5 которого перечисляются сведения, которые не могут составлять коммерческую тайну, в том числе:

• численность и состав работников;
• система оплаты труда;
• задолженность работодателя по выплате заработной платы и по иным социальным выплатам.

Заработная плата является доходом работника и, следовательно, относится к его персональным данным. Отсюда следует, что сам работник может сообщать о ее размерах, кому сочтет нужным. В то же время лица, которым в силу выполнения своих должностных обязанностей стала известна эта информация, разглашать ее без согласия работника не имеют права.

Таким образом, в России имеются реальные правовые механизмы регулирования оборота и защиты персональных данных.

---