Срок приведения к ФЗ 152 перенесли на год

Федеральный закон «О персональных данных» (ФЗ № 152 «О персональных данных») — нормативный правовой акт, являющийся основой нормативного регулирования обработки (использования) персональных данных. Закон был принят 27 июля 2006 года и вступил в законную силу 26 января 2007 г. Операторы персональных данных должны были привести свои системы обработки персональных данных в соответствие с законом до 1 января 2010 года.

Но как всегда случается, операторы персональных данных особо не шевелились, и мало кто успел сделать все, что требуется. Наверное, поэтому сегодня, 16 декабря 2009 г., Госдума приняла в третьем чтении поправки к статьям 19 и 25 закона «О персональных данных» (152-ФЗ). Срок приведения информационных систем персональных данных (ИСПДн) в соответствие с данным законом перенесли на год – до 1 января 2011 г. Кроме того, из закона исключена норма, обязывающая оператора при обработке персональных данных использовать шифровальные (криптографические) средства для защиты данных.

В пользу переноса активно выступили российские банки, по их мнению требования регуляторов непрозрачны и их невозможно выполнить за отведенное время. «Сразу надо отметить, что переносится на год вступление не всего закона, а только одного из его положений — пункта о соответствии ИСПДн техническим требованиям по безопасности», — комментирует Алексей Лукацкий, менеджер по развитию бизнеса Cisco. Он также напоминает, что требования ФСТЭК менялись неоднократно и процесс их изменения вызывал много вопросов. В итоге депутаты признали, что необходимо пойти на перенос сроков, чтобы дать возможность операторам персональных данных подготовиться более серьезно, а регуляторам — извлечь уроки из быстрых малообдуманных действий.

Анатолий Аксаков, член комитета Госдумы по финансовому рынку, изначально предлагавший перенести сроки аудита ИСПДн на 2 года, называет принятые поправки «полумерой». Депутат подчеркивает, что 152-ФЗ необходим, но еще нужно активно над ним поработать, чтобы закон в полной мере защищал интересы и операторов ИСПДн, и тех, кто будет приводить их системы в соответствие с законом. «Отсрочка дает возможность в течение года внести в закон целый ряд других поправок, которые помогут устранить внутренние противоречия, — говорит депутат. — С одной стороны, закон еще нужно совершенствовать с точки зрения защиты персональных данных, а с другой стороны — убрать из него излишнюю нагрузку, которая обременяет операторов ИСПДн и при этом не помогает защищать данные». По словам Аксакова, речь идет о требованиях по использованию технических и программных средств защиты, которые в Европе, например, носят лишь рекомендательный характер. В России же их сделали обязательными, «поддавшись лоббированию со стороны отдельных компаний». Кроме того, изменения должны коснуться целого ряда других законов, где фигурируют персональные данные.

Поставщики решений видят в принятых поправках некоторые положительные стороны для себя. «Проектные команды были поставлены в очень жесткие временные рамки, что не могло не сказываться на качестве исполнения работ и на их стоимости», — говорит Вениамин Левцов, директор департамента развития LETA IT-company. По его словам, теперь у операторов появляется достаточно времени, чтобы в спокойном режиме провести планирование оставшейся части проекта. «Компании смогут более взвешенно подойти к выбору исполнителей, подбору технических средств защиты и возможно даже скорректировать отдельные бизнес-процессы — о последнем в условиях „горящих сроков“ не приходилось даже мечтать», — заключает Левцов. Регулятор в лице Роскомнадзора также не должен быть в обиде, считают в LETA: проверки операторов будут идти в плановом порядке, просто акцент будет делаться на соблюдение норм закона, не связанных с обработкой персональных данных в информационных системах.
Напоследок краткая справка о 152-ФЗ:

Сейчас в реестре Роскомнадзора содержатся данные почти о 75 тыс. операторов ИСПДн — кроме банков, в их число входят телеком-компании и организации здравоохранения.

Целью закона является защита прав и свобод человека при обработке его персональных данных.

Принятие данного федерального закона явилось триггером в создании правовых условий для защиты прав субъектов персональных данных в РФ.

В соответствии с законом № 152 «О персональных данных», в России существенно возрастают требования ко всем частным и государственным компаниям и организациям, а также физическим лицам, которые хранят, собирают, передают или обрабатывают персональные данные (в т.ч. фамилия, имя, отчество). Такие компании, организации и физические лица относятся к операторам персональных данных. Согласно закону, а также ряду подзаконных актов и руководящих документов регулирующих органов (ФСТЭК России, ФСБ России, Роскомнадзор), операторы ПДн должны выполнить ряд требований по защите персональных данных физических лиц (своих сотрудников, клиентов, посетителей и т. д.) обрабатываемых в информационных системах Компании, и предпринять ряд бюрократических действий:

Направить уведомление об обработке персональных данных (ФЗ 152 Статья 22 п 3)
Получать письменное согласие субъекта персональных данных на обработку своих персональных данных (ФЗ 152 Статья 9 п 4)