Согласно настоящему Закону ограничения на обработку персональных данных, используемых в представленных целях, имеют место лишь в случае прямых контактов с потенциальными потребителями с помощью средств связи. Отсутствие названных условий не влечет для оператора каких-либо правовых последствий. Таким образом, по смыслу анализируемой нормы согласие субъекта персональных данных на их обработку должно быть получено лишь в части, касающейся применяемого способа обработки для достижения сформированных целей.
Соответственно, предоставление оператором подобных услуг сторонним организациям должно исключаться при любой работе с персональными данными, даже если эта деятельность осуществляется негосударственными организациями. Любая адресная реклама должна производиться только с предварительного согласия граждан, т.к. иное является несанкционированным вмешательством в частную жизнь граждан. Несанкционированная гражданином адресная политическая агитация повлечет нарушения еще и избирательных прав граждан.
В целях ограничения произвольной обработки персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации законодатель вводит презумпцию "несогласия". Цели и способы такого рода обработки персональных данных будут считаться законными лишь при условии, что оператор докажет наличие согласия субъекта на их обработку.
2. По смыслу комментируемого нормативного правового акта заведомая обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации, осуществляемая при отсутствии согласия субъекта на их обработку, не препятствует оператору в дальнейшем осуществлении такого рода деятельности, до тех пор пока субъект не предъявит требование о ее прекращении.
Возражение против обработки своих персональных данных высказывается субъектом персональных данных оператору путем направления соответствующего заявления.
Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением права на неприкосновенность частной жизни, в том числе с нарушением требований настоящего Федерального закона, и не удовлетворяет его требования устранить нарушения, он вправе обжаловать действия или бездействие оператора в уполномоченном органе по защите прав субъектов персональных данных или в судебном порядке.
Статья 16.
Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных
Комментарий к статье 16
1. Комментируемая статья определяет права субъектов персональных данных по отношению к принятию решения, порождающего юридические последствия, основанного исключительно на автоматизированной обработке персональных данных. Право на возражение против такой обработки, декларированное данной статьей, должно быть основано, в первую очередь, на праве получения информации о том, какая логика положена в основу выработки "автоматизированного решения".
Законодатель не раскрывает ни содержания, ни характера принятого решения, влекущего за собой юридические последствия для субъекта персональных данных. Применительно к положениям рассматриваемой статьи это не имеет принципиального значения. Решение такого рода будет выступать в роли основания возникновения соответствующих правоотношений лишь при условии, что потенциально создает возможности возложения на субъекта персональных данных дополнительных обязанностей и ограничений и является следствием автоматизированной обработки. Создаваемые юридические последствия могут иметь для субъекта персональных данных также и позитивные моменты (например, предоставления лицу дополнительных льгот и преимуществ) либо затрагивать отдельные аспекты его личности, такие как выполнение им своей работы, кредитоспособность, надежность, поведение и т.п.
В целях защиты интересов субъектов персональных данных, законодатель обязывает оператора предварительно уведомлять последних о порядке принимаемого им решения как результата автоматизированной обработки персональных данных и возможных юридических последствиях его реализации, а также разъяснять порядок защиты субъектом своих прав и законных интересов. С целью их реализации оператор персональных данных должен предоставить субъекту возможность заявить возражения против принимаемого решения. Согласно общему смыслу и принципам настоящего Закона возражения на вынесенное решение должно приноситься в письменной форме. Однако несоблюдение формы не лишает субъекта персональных данных возможности защиты своих прав и интересов. О результатах рассмотрения внесенного в адрес оператора возражения и принятом решении оператор должен уведомить субъекта персональных данных не позднее семи рабочих дней с момента его получения.
Реализация принятого решения, порождающего юридические последствия для субъекта персональных данных, по общему правилу осуществляется с его письменного согласия до тех пор, пока не будет заявлено обратное. В данном случае действия оператора будут признаны осуществляемыми без согласия субъекта персональных данных, пока оператором не будет доказан факт его получения. С этой целью все действия, подпадающие под действие положений настоящей статьи, оператору целесообразно закреплять в письменном виде.
2. В процессе принятия настоящего Закона особое внимание обращалось на то обстоятельство, следует или не следует ограничивать действие представленных положений системами автоматизированной и компьютерной обработки персональных данных. В пользу такого ограничения говорит целый ряд факторов, в том числе серьезная угроза неприкосновенности частной жизни индивидуума, возникающая в связи с появлением автоматизированных систем и компьютерных банков данных и со все более явным преобладанием автоматизированных методов обработки данных, особенно в процессе международных обменов данными.
С другой стороны, ограничение действия настоящей статьи исключительно системами автоматизированной обработки данных имело бы ряд недостатков. Во-первых, на уровне определений достаточно трудно провести четкую линию раздела между автоматизированной и неавтоматизированной обработкой данных. Существуют, например, смешанные типы систем, которые могут предусматривать, а могут и не предусматривать автоматизированную обработку данных. Эти трудности усугубляются постоянным совершенствованием технологий: например, вводятся в действие новейшие методы полуавтоматической обработки данных на основе микрофильмов или микрокомпьютеров, которые начинают все более широко использоваться частными лицами в целях, которые являются, с одной стороны, безобидными, а с другой — не поддающимися контролю. Более того, если рассматриваемые положения будут касаться только компьютеров, то результатом этого может стать отсутствие системного подхода, "провалы" и создание широких возможностей для того, чтобы операторы могли обходить правила, используя неавтоматизированные методы обработки данных в целях, которые могут оказаться небезопасными.
Наиболее целесообразным представляется применение положений настоящей статьи к обработке персональных данных в самом широком их понимании, вне зависимости от конкретных технологий, используемых в этом процессе.
Статья 17.
Право на обжалование действий или бездействия оператора
Комментарий к статье 17
Комментируемой статьей воспроизводится общий принцип отечественной правовой системы, в соответствии с которым любое действие (бездействие), нарушающее права и законные интересы граждан, а равно создающее предпосылки к этому, может быть обжаловано в административном или судебной порядке (см. ст.46 Конституции РФ).
В качестве материально-правового основания возникновения права на защиту законодатель называет несоблюдение оператором требований настоящего Закона в процессе обработки персональных данных, результатом которого явилось:
нарушение прав и законных интересов субъектов персональных данных или создание предпосылки к такому нарушению;
создание препятствий осуществления гражданином своих прав и свобод;
необоснованное или незаконное возложение на лицо каких-либо обязанностей или привлечение его к ответственности.
В роли процессуального основания применения положений комментируемой статьи выступает обращение заинтересованного лица с жалобой в уполномоченный орган по защите прав субъектов персональных данных или в суд.