ЗАКОНОДАТЕЛЬСТВО АЗЕРБАЙДЖАНА В СФЕРЕ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
Система законодательства в области персональных данных. Основные нормативно-правовые акты
Законодательство Азербайджанской Республики в сфере персональных данных состоит из Конституции Азербайджанской Республики, Закона Азербайджанской Республики о персональных данных от 6 июня 2010 года и других нормативных правовых актов.
Статья 32 Конституции гарантирует гражданам право на личную неприкосновенность:
- Каждый имеет право хранить тайну личной и семейной жизни. Кроме случаев, предусмотренных законом, вмешательство в личную и семейную жизнь запрещается. Каждый обладает правом на защиту от незаконного вмешательства в личную и семейную жизнь.
- Сбор, хранение, использование и распространение сведений о чьей-либо частной жизни без его согласия не допускаются. За исключением случаев, установленных законом, никто не может без его ведома и вопреки возражениям подвергнуться слежению, видео- и фотосъемке, записи голоса и другим подобным действиям, за исключением установленных законом случаев.
- Государство гарантирует каждому право на сохранение тайны переписки, телефонных переговоров, почтовых, телеграфных сообщений и сведений, передаваемых другими средствами связи. Это право в предусмотренном законом порядке может быть ограничено для предотвращения преступления или для выявления истины при расследовании уголовного дела.
- За исключением случаев, установленных законом, вход в информационные ресурсы, ведущиеся в электронной форме или на бумаге, в целях получения данных о третьих лицах запрещается.
Территориальная и материальная сферы действия закона
Закон Азербайджанской Республики «О персональных данных» регулирует отношения, связанные со сбором, обработкой и защитой персональных данных, а также вопросы, связанные с трансграничной передачей персональных данных, устанавливает права и обязанности действующих в данной сфере государственных органов и органов местного самоуправления, физических и юридических лиц.
Положения Закона не распространяются на сбор и обработку персональных данных физическими лицами исключительно для личных и семейных нужд.
Закон Азербайджанской Республики «Об информации, информатизации и защите информации» (pdf) регулирует отношения, возникающие в связи с формированием информационных ресурсов путем создания, сбора, переработки, хранения, поиска, распространения информации, с созданием и использованием информационных систем, технологий, средств их обеспечения, защитой информации, и определяет права субъектов, участвующих в информационных процессах.
Закон не распространяется на отношения, регулируемые законами Азербайджанской Республики «О средствах массовой информации» и «Об авторском праве и смежных правах».
Термины, используемые в законодательстве о персональных данных
• Персональные данные – любая информация, позволяющая прямо или косвенно определить лицо.
• Индивидуальный идентификационный номер – единый неповторимый код, присваиваемый в установленном порядке лицу, персональные данные которого вносятся в информационные системы персональных данных, и позволяющий однозначно установить соответствующие сведения о лице.
• Персональные данные особой категории – сведения, относящиеся к расовой или национальной принадлежности, семейной жизни, религиозному вероисповеданию и убеждениям, здоровью или судимости.
• Собственник персональных данных (далее – собственник) – государственный орган или орган местного самоуправления, физическое или юридическое лицо, осуществляющие в установленном законодательством порядке полное право владения, пользования и распоряжения информационной системой или ресурсом персональных данных, определяющие цель обработки персональных данных.
• Оператор персональных данных (далее – оператор) – собственник персональных данных, осуществляющий сбор, обработку и защиту персональных данных, либо государственный орган или орган местного самоуправления, физическое или юридическое лицо, которым он поручил данные функции в определенном объеме и на определенных условиях.
• Пользователь персональных данных (далее – пользователь) – государственный орган или орган местного самоуправления, физическое или юридическое лицо, которым предоставлено право пользования персональными данными в пределах их полномочий и в установленных собственником порядке и объема в целях получения информации, необходимой только для них.
• Обезличивание персональных данных – приведение персональных данных в состояние, при котором невозможно определить их принадлежность субъекту.
• Документированная информация (документ) – документированная информация, зафиксированная на материальных носителях в текстовой, голосовой или изобразительной форме и дающая возможность идентификации, независимо от ее источника, места хранения, официального статуса, вида собственности, и независимо от того, создана ли она организацией, которой принадлежит.
• Открытая информация – предназначенная для общего пользования документированная информация, получение, переработка, выдача или использование которой законодательством Азербайджанской Республики не ограничено.
• Конфиденциальная информация – сведения, получение которых ограничено в целях защиты законных интересов граждан, созданных независимо от формы собственности учреждений, предприятий и организаций, других юридических лиц, а также профессиональная (врачебная, адвокатская, нотариальная), коммерческая, следственная и судебная тайна, а также частные сведения.
Защита разных категорий персональных данных
В зависимости от вида доступа (получения) персональные данные подлежат различной защите:
- Конфиденциальные персональные данные, за исключением установленных законом случаев, могут быть переданы третьим лицам только на основании согласия субъекта.
- Обеспечение конфиденциальности персональных данных общедоступной категории не требуется. Общедоступные персональные данные — данные о субъекте, обезличенные в установленном порядке, открытые им самим либо внесенные с его согласия в информационные системы, созданные для общего пользования. Фамилия, имя и отчество лица относятся к постоянно общедоступным персональным данным.
Сведения специальной категории могут относиться как к категории конфиденциальных, так и к категории общедоступных персональных данных с учетом их особенностей и требований Закона о персональных данных.
Собственник или оператор должны осуществлять организационно-технические мероприятия, гарантирующие обеспечение защиты персональных данных (в том числе предотвращения их случайного и несанкционированного уничтожения, утраты, незаконного доступа, изменения и других случаев).
Условия обработки персональных данных
Сбор и обработка персональных данных могут осуществляться только при наличии одного из следующих условий:
- Субъект дал согласие на сбор и обработку персональных данных либо эти данные относятся к открытой категории.
- Персональные данные обрабатываются на основании законодательства, определяющего цели и способы их обработки.
- Обработка персональных данных осуществляется в научных и статистических целях при условии обязательного обезличивания.
- Сбор и обработка персональных данных необходимы для охраны жизни и здоровья субъекта персональных данных.
Сбор и обработка персональных данных специальной категории не допускаются, за исключением случаев:
- Сбор и обработка данных специальной категории в установленных законом случаях носят принудительный характер.
- Данные специальной категории в порядке, предусмотренном законом, относятся к категории открытых данных.
- Сбор и обработка данных специальной категории необходимы для охраны жизни и здоровья субъекта, другого лица или соответствующей группы лиц, при этом получение согласия субъекта на сбор этих данных является невозможным.
- Сбор и обработка данных специальной категории, относящихся к членам общественных объединений и других неправительственных организаций, проводятся данными организациями для достижения их законных целей и при условии непредоставления их третьим лицам без согласия субъекта.
Согласие субъекта на сбор и обработку персональных данных
Согласие на сбор и обработку персональных данных может быть получено в письменной форме и в форме электронного документа с усиленной электронной подписью.
В письменное согласие субъекта на обработку персональных данных должно входить следующее:
- Сведения, позволяющие определить личность субъекта.
- Сведения, позволяющие определить собственника или оператора, получающего согласие субъекта.
- Цель сбора и обработки персональных данных.
- Список персональных данных, на обработку которых дано согласие субъекта, и операций по их обработке.
- Время действия согласия субъекта и условия его отзыва.
- Условия уничтожения или архивирования собранных персональных данных о субъекте после завершения установленного срока хранения либо его смерти.
В случае смерти субъекта, объявления его умершим, признания пропавшим без вести, недееспособным, а также недостижения им совершеннолетия, согласие выдается его наследниками или законными представителями.
Обязанность представить доказательства о получении согласия субъекта на сбор и обработку его персональных данных несет собственник или оператор.
Собственник или оператор, осуществляющий сбор и обработку открытых персональных данных, должны представить доказательства, что эти данные относятся к категории открытых персональных данных.
Права субъекта персональных данных
Права субъекта персональных данных регламентированы главой III Закона о защите персональных данных Азербайджанской Республики.
Субъект персональных данных вправе:
- Безвозмездно получать от собственника или оператора информацию о наличии персональных данных о нем, в том числе накопленных, с правовым обоснованием обработки его персональных данных, а также информацию о сертификате соответствия информационных систем и о прохождении ими государственной экспертизы.
- Требовать изменения и уничтожения любых собранных в информационной системе персональных данных о нем, а также подавать обращение о передаче этих данных в установленном порядке в архив.
- Требовать наложения запрета на сбор и обработку персональных данных о нем и защиты любых собранных в информационной системе персональных данных о нем. Запрет на обработку персональных данных субъекта продолжает действовать после его смерти.
- Отозвать согласие на обработку персональных данных.
- Возражать против сбора и обработки персональных данных о нем, за исключением случаев, когда сбор и обработка данных носят принудительный характер в установленном законодательством порядке.
Субъект осуществляет свои права путем предоставления собственнику или оператору письменного заявления на бумаге и удостоверяющего личность документа либо путем подачи электронного запроса с усиленной электронной подписью.
При сборе персональных данных собственник или оператор должен в обязательном порядке сообщить субъекту информацию, которую субъект вправе запросить повторно.
Возражение субъекта против обработки его персональных данных должно быть представлено собственнику или оператору в письменном виде. Обоснование возражения субъекта не требуется. При получении данного возражения собственник или оператор должны незамедлительно прекратить сбор и обработку персональных данных.
Биометрические данные
Биометрические персональные данные – это данные, характеризующие биологические особенности человеческого организма и позволяющих однозначно его определить – отпечатки пальцев и ладоней, изображение лица, сетчатка и радужная оболочка глаза, фрагменты голоса и его акустические параметры, результаты анализа дезоксирибонуклеиновой кислоты (ДНК), размеры тела, описание особых признаков и недостатков тела, почерк и подпись и другие.
Установленные Законом о персональных данных условия сбора и обработки персональных данных в полной мере применяются к сбору и обработке биометрических данных.
Обязанности собственника и оператора персональных данных
Собственник и оператор обязаны:
- Обеспечить законность и безопасность сбора и обработки персональных данных.
- При сборе персональных данных собственник или оператор должен в обязательном порядке сообщить субъекту полную информацию о объеме персональных данных, целях обработки, данные об операторе и собственнике и иные сведения, которые субъект вправе получить.
- Давать обоснованные ответы на запросы субъекта персональных данных не позднее 7 рабочих дней, в случае необходимости срок для дачи ответа может быть продлен до 14 рабочих дней.
- На основании запроса субъекта персональных данных осуществить необходимые мероприятия с персональными данными (уточнение данных, запрет на сбор и обработку данных и т.д.) и в течение 3 рабочих дней проинформировать о данных мероприятиях третьих лиц, которым ранее передавались персональные данные о субъекте.
Собственник персональных данных обязан:
- При выполнении обязанностей оператора при сборе и обработке персональных данных, на собственника распространяются обязанности оператора.
- Выполнять требования соответствующего органа исполнительной власти об исполнении возложенных на него законом обязанностей и в течение 7 рабочих дней информировать его об этом.
Оператор обязан:
- Создавать условия для осуществления разведывательных и контрразведывательных, оперативно-розыскных мероприятий, решать соответствующие организационные и технические вопросы и соблюдать конфиденциальность способов, используемых при осуществлении данных мероприятий.
- Соблюдать обязанности установленные условиями договора, заключенного между собственником и оператором.
Информационные системы персональных данных подлежат прохождению государственной регистрации в соответствующем органе исполнительной власти, за исключением случаев обработки персональных данных в целях обеспечения национальной безопасности Азербайджанской Республики, а также законности правил сбора персональных данных в связи с осуществлением разведывательной и контрразведывательной, оперативно-розыскной деятельности, защиты персональных данных, относящихся к государственной тайне и собранных в национальном архивном фонде.
Правила государственной регистрации информационных систем персональных данных и аннулирования государственной регистрации утверждаются соответствующим органом исполнительной власти.
Информационные системы персональных данных (ИС ПД), которые не нуждаются в прохождении государственной регистрации:
- ИС ПД, относящихся к государственной тайне в соответствии с законодательством Азербайджанской Республики о государственной тайне.
- ИС ПД, относящаяся к субъектам, находящимся в трудовых отношениях с собственником или оператором, или необходимая для их допуска на рабочую территорию.
- ИС ПД, установленные соответствующим органом исполнительной власти, создаваемые в зависимости от цели обработки персональных данных и максимального предела численности субъектов в случаях, не требующих прохождения государственной регистрации.
Трансграничная передача персональных данных
Трансграничная передача персональных данных – это передача персональных данных в установленном законодательством порядке через государственную границу Азербайджанской Республики соответствующим международным организациям, государственным органам или органам местного самоуправления, физическим или юридическим лицам других стран.
Трансграничная передача персональных данных запрещается в случаях:
- Наличия угрозы для национальной безопасности Азербайджанской Республики.
- Если законодательство страны, в которую передаются персональные данные, не обеспечивает правовую защиту этих данных на уровне, установленном законодательством Азербайджанской Республики.
Трансграничная передача персональных данных может осуществляться независимо от уровня их правовой защиты в случаях, когда субъект дал согласие на трансграничную передачу персональных данных, а также если передача персональных данных необходима для охраны жизни и здоровья субъекта.
При трансграничной передаче персональных данных безопасность этих данных обеспечивается собственником или оператором.
Ответственность за нарушение законодательства в сфере персональных данных
При нарушении прав субъекта в результате незаконного сбора и обработки персональных данных о нем, необеспечения их защиты, а также несоблюдения требований настоящего Закона, он вправе подать жалобу в соответствующий орган исполнительной власти или в суд, а также требовать в судебном порядке возмещения причиненного морального и материального ущерба.
Кодекс Азербайджанской Республики об административных проступках устанавливает административную ответственность за административные проступки, посягающие на правила использования, распространения и охраны информации, в том числе за:
- Сбор или обработку персональных данных вне прошедшей государственную регистрацию информационной системы, в отношении которой по Закону Азербайджанской Республики «О персональных данных» требуется государственная регистрация.
- Необеспечение защиты персональных данных, неуничтожение персональных данных, либо неприостановление сбора, обработки или предоставление персональных данных в случаях и в сроки, когда это требуется Законом Азербайджанской Республики «О персональных данных».
Наказание в отношении собственника или оператора персональных данных может быть назначено в виде штрафа в размере от трехсот до пятисот манатов.
Глава двадцать первая Уголовного Кодекса Азербайджанской Республики (pdf) устанавливает уголовную ответственность за преступления против конституционных прав и свобод человека и гражданина.
Статья 148-1. Клевета или оскорбление в информационном интернет-ресурсе с использованием поддельных имен пользователя, профилей или учетных записей наказывается штрафом в размере от тысячи до двух тысяч манатов, либо общественными работами на срок от триста шестидесяти до четырехсот восьмидесяти часов, либо исправительными работами на срок до двух лет, либо лишением свободы на срок до одного года.
Статья 155. Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений наказывается штрафом в размере от тысячи до двух тысяч манатов либо исправительными работами на срок до одного года.
Статья 156. Незаконный сбор, распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, а также продажа или передача другому лицу документов, материалов видео- и фотосъемок, звукозаписей с такими сведениями наказывается штрафом в размере от тысячи до двух тысяч манатов, либо общественными работами на срок от двухсот сорока до четырехсот восьмидесяти часов, либо исправительными работами на срок до одного года.
Если такие деяния совершены должностным лицом с использованием своего служебного положения либо с использованием дистанционно управляемого беспилотного летательного аппарата, то они наказываются ограничением свободы на срок до двух лет, либо лишением свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового.
Обзор отражает авторский взгляд ведущего специалиста по юридическому
сопровождению М.Г. Тепляковой на законодательство Азербайджанской Республики