В качестве условий применения специальной обработки персональных данных законодатель называет случаи:
выявления недостоверных персональных данных; неправомерных действий с ними.
По смыслу комментируемой статьи инициатором применения специальной обработки персональных данных может выступать любой из участников соответствующих правоотношений:
оператор, осуществляющий обработку персональных данных;
субъект персональных данных или его законный представитель;
уполномоченный орган по защите прав субъектов персональных данных.
Выявлению недостоверных персональных данных предшествует предварительная их обработка оператором, связанная с получением подтверждающих сведений из третьих источников в порядке и на условиях, оговоренных настоящим Законом.
Неправомерные действия оператора с персональными данными связаны с несоблюдением требований настоящего Закона в части, касающейся их обработки и в первую очередь нарушения требований соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, полномочиям оператора, а также соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных (см. ст.5 настоящего Закона и комментарий к ней).
Выявление неправомерных действий оператора с персональными данными напрямую связано с реализацией права субъекта персональных данных на получение информации, касающейся обработки его персональных данных, в порядке, определенном ст.ст.14 и 20 настоящего Закона.
В случае подтверждения оснований, необходимых для специальной обработки, оператор обязан выявить условия их возникновения и предпринять меры к устранению последних. В связи с этим с момента выявления соответствующих негативных последствий оператор обязан осуществить блокирование персональных данных на весь период последующей проверки.
2. В случае подтверждения условий, послуживших основанием временного прекращения сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи из числа обозначенных пунктом первым комментируемой статьи, законодатель предусматривает несколько вариантов дальнейшего развития ситуации, каждому из которых соответствует собственный уникальный порядок реализации.
Недостоверность персональных данных, выявленная в процессе их обработки или по запросу субъекта, требует, в свою очередь, их уточнения. В целях достижения необходимого правомерного результата законодатель допускает возможность обработки оператором персональных данных при несоответствии объема и способов обработки персональных данных ее целям. Подобного рода отступление от существующих правил возможно при условии предоставления субъектом персональных данных дополнительных сведений, необходимых в целях уточнения его персональных данных и получения последних оператором из иных источников самостоятельно при условии уведомления субъекта персональных данных и уполномоченного органа по защите прав субъектов персональных данных.
Неправомерность действий с персональными данными, явившаяся следствием нарушений требований, установленных настоящим Законом, требует привлечение виновного лица в установленном порядке к ответственности. Вместе с тем законодатель допускает применение к оператору, чья вина в подобного рода случаях презюмируется, мер общей превенции, связанных с возможностью устранения допущенных нарушений. Последнее подразумевает в первую очередь приведение в соответствие объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных. Оператор свободен в выборе способов, приемов и методов устранения имеющих место нарушений при условии законности и добросовестности их применения. В случае невозможности устранения допущенных нарушений оператор обязан уничтожить персональные данные, правомерность обработки которых вызывает сомнения.
На устранение имеющих место нарушений обработки персональных данных, равно как и на уничтожение последних, законодатель отводит три рабочих дня. Исчисление указанного срока начинается с момента выявления неправомерности действий с персональными данными или поступления в адрес оператора соответствующего запроса субъекта персональных данных или его законного представителя.
Законодатель обязывает оператора уведомлять уполномоченный орган по защите прав субъектов персональных данных обо всех действиях, проведенных в отношении персональных данных, явившихся следствием устранения выявленных нарушений в процессе обработки последних.
3. Комментируемая статья предусматривает случаи применения специальной обработки персональных данных в условиях законности и обоснованности действий с последними. К их числу относятся достижение заявленных оператором целей обработки персональных данных и отзыв субъекта персональных данных своего согласия на их обработку. Во многом последовательность действий и сроки их совершения в представленных случаях совпадают по своему содержанию с процедурой, применяемой при устранении недостатков, возникших как следствие неправомерных действий с персональными данными. Особенность оснований применения сформулированных пунктами 4 и 5 комментируемой статьи действий заключается в общей превенции деятельности оператора, имеющей своей целью предотвратить потенциальную угрозу нарушения действующего законодательства в случаях продолжения обработки персональных данных.
Статья 22.
Уведомление об обработке персональных данных
Комментарий к статье 22
1. Процедура уведомления об обработке персональных данных по смыслу комментируемого Закона выступает одной из гарантий соблюдения прав и законных интересов субъектов персональных данных в процессе обработки, переданной ими конфиденциальной информации и является своеобразным механизмом контроля и надзора за деятельность оператора.
Комментируемая статья, определяя порядок уведомления, его форму и содержание, вместе с тем содержит далеко не полные основания и условия его осуществления. По смыслу буквального толкования п.1 комментируемой статьи уведомление об обработке персональных данных должно предшествовать началу деятельности оператора. Иными словами, оператор в момент его регистрации в установленном качестве, определения целей его деятельности, применяемых способов и методов обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своих намерениях.
Применение уведомительного порядка о начале деятельности во многом свойственное явление отечественной правовой системе и, как правило, не влечет каких-либо правовых последствий в отношении субъекта, его применяющего. Отчасти их наступление связано с самоустранением обязанного лица от выполнения требуемых действий. Применительно к тексту комментируемого Закона действия оператора будут расценены не иначе как неправомерное использование полученных им персональных данных и их незаконная обработка (см. ст.21 настоящего Закона и комментарий к ней).
Следует подчеркнуть, что в тексте рассматриваемой статьи законодатель допускает уведомительную процедуру лишь в случаях, предшествующих началу профессиональной деятельности оператора. Однако анализ всей совокупности представленных законодательных положений позволяет отметить, что уведомление об обработке персональных данных, как это сформулировано в заглавии настоящей статьи, должно иметь место в ряде случаев:
уточнение, блокирование или уничтожение персональных данных в порядке, оговоренном ст.21 настоящего Закона;
изменение сведений, обусловливающих законность деятельности оператора (см. п.7 комментируемой статьи);
достижение целей обработки персональных данных или отзыв субъектом персональных данных своего согласия на их обработку.
2. Законодатель допускает возможность оператора осуществлять обработку персональных данных без предварительного уведомления об этом уполномоченного органа по защите прав субъектов персональных данных. Сформулированный пунктом вторым комментируемой статьи перечень подобного рода случаев основывается на принципе внутреннего использования персональных данных, исключающем возможность их распространения за рамки правоотношений, существующих между оператором, осуществляющим их обработку, и субъектом, их передавшим. Исключение из названного принципа представляют собой случаи обработки персональных данных, отнесенных к разряду общедоступных сведений; обрабатываемых без использования средств автоматизации; включенных в состав федеральных автоматизированных информационных систем, созданных с целью защиты безопасности государства и общественного порядка или содержащих исключительно фамилию, имя и отчество лица.