С 1 сентября 2015 года вступил в силу Федеральный закон от 21.07.2014 №242-ФЗ (ред. от 31.12.2014) «О внесении изменений в отдельные законодательные акты РФ в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях».

Ст. 18 ФЗ «О персональных данных» будет дополнена частью 5 следующего содержания: «При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ…» Таким образом, если сервер, на котором находятся персональные данные работников или клиентов, находится за границей, то компания подпадает под действие новых норм закона.

Пути решения. Во избежание нарушения законодательства РФ необходимо производить первичную обработку персональных данных с использованием баз данных, находящихся на территории РФ. Ст.2 ФЗ №242-ФЗ не запрещает использование баз персональных данных граждан РФ за рубежом. Однако первичная база данных должна находиться на территории РФ.

Ст.12 ФЗ «О персональных данных» предусмотрена трансграничная передача персональных данных. То есть передача данных на территории иностранных государств, являющихся сторонами Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных, а также иных иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных» осуществляется в соответствии с ФЗ «О персональных данных». Выясните, является ли страна, где расположен ваш сервер, участником данной конвенции. Если да, то можно сделать вывод, что оператор вправе (ему не запрещается) передавать персональные данные своих работников за границу при условии их первичной обработки на сервере, находящемся на территории РФ.

Кроме того, п. 2 ст. 12 вышеуказанной Конвенции установлено, что государство не должно запрещать или обусловливать специальным разрешением трансграничные потоки персональных данных, идущие на территорию другого государства, с единственной целью защиты частной жизни.

Как подготовиться к вступлению в силу закона о персональных данных? Внести соответствующие изменения в локальные нормативные акты компании, регулирующие обработку персональных данных сотрудников. Изменения должны касаться сведений о наличии и местоположении баз данных.

Кроме того, целесообразно получить от работников, чьи персональные данные подлежат трансграничной передаче, согласие в письменной форме на такую передачу.

В случае, если ваша компания намеревается обрабатывать персональные данные своих клиентов (граждан РФ), то в соответствии со ст. 22 ФЗ «О персональных данных» необходимо уведомить Роскомнадзор о таком намерении. Уведомление направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом компании.

Ответственность, предусмотренная за нарушение ФЗ «О персональных данных». В силу положений ст. 24 ФЗ "О персональных данных", виновные лица несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность.

Административная ответственность за нарушение порядка обработки персональных данных предусматривается ст. 13.11. КоАП РФ. К оператору могут быть применены следующие санкции:
- предупреждение или наложение административного штрафа на граждан в размере от трехсот до пятисот рублей;
- на должностных лиц - от пятисот до одной тысячи рублей;
- на юридических лиц - от пяти тысяч до десяти тысяч рублей.

Вместе с тем, в настоящий момент на рассмотрении Государственной Думы РФ находится проект Федерального закона «О внесении изменений в Кодекс РФ об административных правонарушениях», который может повлечь увеличение штрафов по ст. 13.11 КоАП РФ до 30 тысяч рублей, введение статьи 13.11.2. КоАП РФ - Незаконная обработка специальных категорий персональных данных (касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также персональных данных о судимости) – для юридических лиц штраф в размере 1,5 % совокупного дохода за прошедший отчетный год, но не менее 400 тысяч рублей. Данный законопроект уже был принят в первом чтении.

В случае если Роскомнадзор выдаст оператору предписание с требованием устранить недостатки в своей деятельности и привести работу в соответствии с положениями ФЗ «О персональных данных» и оператор это предписание по каким-либо причинам не исполнит или же не успеет это сделать в срок, то оператор в данном случае также может быть привлечен к административной ответственности по ч. 1 ст. 19.5. КоАП РФ в виде административного штрафа:
- на граждан - в размере от трехсот до пятисот рублей;
- на должностных лиц - от одной тысячи до двух тысяч рублей или дисквалификацию на срок до трех лет;
- на юридических лиц - от десяти тысяч до двадцати тысяч рублей.

Также не исключаем возможность предъявления работником исков о возмещении морального вреда, связанного с неправомерными действиями работодателя как оператора по обработке персональных данных (ст. 237 ТК РФ).

Михаил Черепнов, юрист, руководитель судебно-арбитражной практики юридической фирмы Timofeev/Cherepnov/Kalashnikov