Госдума приняла в первом чтении законопроект № 444277-5 «О внесении изменений в статью 25 Федерального закона "О персональных данных"» - в части продления срока приведения ранее созданных информационных систем персональных данных в соответствие с требованиями названного закона. Проект был поддержан единогласно. Таким образом, изменения в статьи 19 и 25 закона «О персональных данных», будет отложено еще на год – до 1 января 2012 г.

Как пояснил вице-президент Российского союза туриндустрии, председатель комитета ТПП РФ по предпринимательству в сфере туристской, курортно-рекреационной и гостиничной деятельности Юрий Барзыкин, о необходимости продления сроков введения положений этого закона речь шла и в РСТ, и в ТПП РФ, и в РСПП, и в других объединениях предпринимателей еще в прошлом году. Тогда удалось перенести введение до 1 января 2011 года. И вот теперь - новое продление.

Юрий Барзыкин отметил, что попытки реализации требований, определенных нормативно-правовыми актами к информационным системам персональных данных, выявили целый ряд трудностей, в том числе и в турбизнесе. Например, коммерческие организации констатируют существенное увеличение затрат на приведение информационных систем в соответствие с требованиями по безопасности персональных данных и, особенно, на поддержание таких систем. Более того, выполнение органами государственной власти, местного самоуправления, бюджетными организациями требований к информационным системам персональных данных потребует резкого увеличения расходов из бюджетов всех уровней.

Следствием указанных проблем может стать массовое несоответствие хозяйствующих субъектов новым требованиям закона, при этом государственные органы вправе проверять исполнение этих требований и привлекать к ответственности нарушителей.

Мы попросили Александра Жданова, заместителя генерального директора аккредитованного при Федеральной службе по техническому и экспортному контролю (ФСТЭК) ЗАО «Медианн-Решения», напомнить, в чем состоят требования Федерального закона 152-ФЗ «О персональных данных»?

- Коротко ответить довольно сложно. Важно, что закон 152-ФЗ определяет в основном цели и принципы, а не устанавливает требования по защите информационных систем персональных данных (ИСПДн). Эти требования содержатся в различных подзаконных актах уполномоченных регуляторов – Роскомнадзора, ФСТЭК и ФСБ России. В соответствии с ними все юридические и физические лица, обрабатывающие персональные данные (за исключением личных и семейных нужд), обязаны принять организационные и технические меры по защите персональных данных. Перечень этих мер варьирует в зависимости от количества и характера персональных данных и изложен в нормативных материалах названных регуляторов.

- Так с чем же связан перенос сроков?

- Причин несколько. Во-первых, это высокая стоимость мероприятий по защите информационных систем персональных данных. Ввиду недостаточного финансирования многие операторы оказались не готовы к установленному ранее сроку – 1 января 2011 года. Во-вторых, по разным причинам не состоялось запланированное на 2010 год внесение изменений в некоторые законодательные акты Российской Федерации, обусловленное принятием Федерального закона «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных». Перенос сроков приведения ИСПДн в соответствие требованиям безопасности позволит Госдуме внести требуемые изменения в соответствующие законодательные акты, а операторам даст возможность еще раз внимательно изучить требования регуляторов и выбрать для себя организационные и технические меры, отвечающие требованиям регуляторов, с одной стороны, и лежащие в рамках допустимой для организации финансовой нагрузки, с другой.

- Вы сказали, что одной из причин переноса сроков является высокая стоимость мероприятий по защите. Разве стоимость систем защиты снизится от переноса срока?

- Перенос срока, действительно, на стоимость не влияет, если не говорить об инфляционных процессах. Однако предоставленное время дает весьма значительные возможности для оптимизации. Наша компания, совместно с юридической компанией «Персона Грата», по поручению Российского союза туриндустрии, внимательно изучает условия работы туроператоров. Накопленный опыт показал, что применение некоторых методических принципов и рациональный подход к созданию систем защиты позволяют снизить их стоимость в разы. В настоящее время мы готовим рекомендации, которые помогут предприятиям туриндустрии создать минимальные по стоимости системы защиты, полностью отвечающие требованиям регуляторов по безопасности.

- Вот так все просто, следуем рекомендациям и проблемы нет?

- На самом деле, все не так просто. Рекомендации – это лишь первый шаг на пути соответствия законодательству. Следует ожидать, что правоприменительная практика обязательно вскроет некоторые проблемы, которые не лежат не поверхности и пока адекватно осознаются. Например, много вопросов по организации защиты персональных данных возникает при трансграничной их передаче через границу РФ. Многим организациям придется менять бизнес-процессы и даже корпоративную культуру, чтобы эффективно противостоять утечке данных по инсайдерским каналам. Вместе с тем, есть очевидные шаги, которые необходимо предпринять в самом ближайшем будущем.

Предприятиям туриндустрии, которые обрабатывают персональные данные туристов и направляют их третьим лицам необходимо уведомить Роскомнадзор. Это законодательное требование, которое не влечет никаких расходов. Зарегистрироваться можно непосредственно на сайте Роскомнадзора. Необходимо соответствующими приказами определить цели и регламенты обработки персональных данных, назначить ответственных. Не буду дальше продолжать перечень необходимых организационных и технических мер. Они изложены в документах регуляторов. Осуществление мер защиты персональных данных приблизит Россию к практике защиты фундаментальных прав и свобод граждан в странах Евросоюза, создаст условия для комфортного межстранового взаимодействия.

Остается надеяться, что также единодушно законопроект будет принят во втором и третьем чтениях. А самое главное, что за оставшийся год будет реализован комплекс мер по реализации положений закона и по совершенствованию нормативно-правовой базы.