Поделиться
Закон "О персональных данных": причины провала
26 января 2007 года вступил в силу ФЗ "О персональных данных". Однако приватные базы данных как лежали на прилавках, так и продолжают там оставаться. Изменил ли новый закон практику нелегального оборота персональных данных? Нет. Сможет ли он остановить очередные утечки? Вряд ли. По мнению экспертов, закон бессилен, поскольку его требования недостаточно конкретны.Между тем, согласно ст.19 ч.2 ФЗ "О персональных данных", Правительство РФ должно установить требования к "обеспечению безопасности [персональных данных] при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных". Контроль над выполнением этих требований, согласно ст.19 ч.3, будет возложен на "федеральный орган исполнительный власти, уполномоченный в области противодействия техническим разведкам и технической защите информации". Другими словами, принятие закона (даже с прописанными в нем требованиями к безопасности приватных сведений) является лишь первым шагом на долгом пути к цивилизованному обращению персональных данных. Следующей ступенью должно было стать назначение или создание уполномоченного органа и четкая формализация требований к защите личной информации. Отметим, что сам уполномоченный орган уже выбран. Это Федеральная служба по техническому и экспортному контролю. Однако каких-либо формализованных требований от ФСТЭК России в плане защиты персональных данных еще не было обнародовано.
Также отметим, что согласно ст.24, виновные лица несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность. Более того, ст.17 разрешает гражданам подавать в суд на операторов персональных данных и требовать возмещение убытков и/или компенсацию морального вреда в случаях, когда оператор нарушает требования ФЗ. Т.е. утечка приватных сведений граждан может легко спровоцировать целую череду исков и судебных разбирательств, что приведет к серьезным юридическим издержкам, огласке и ухудшению репутации.
Закон на практике
Несмотря на то, что проблема защиты персональных данных наболела уже давно, принятие нового закона само по себе эту задачу не решает. Федеральный нормативный акт предъявляет лишь формальные требования к безопасности приватной информации, а за соблюдением этих положений должны следить специальные уполномоченные органы. Однако разрыв между тем, что написано в законе, и тем, что реально выполняется на практике, в России уже давно стал притчей во языцех. В связи с этим респондентам было предложено указать, насколько они верят в реальную эффективность ФЗ "О персональных данных". Как оказалось, 6 респондентов из 10 в целом возлагают на закон положительные надежды. Структура этих 60% такова: 54% респондентов полагают, что норматив будет работать, но не на полную силу, а 6% абсолютно уверены, что закон окажется довольно эффективным (приведет к сокращению числа утечек, а за сами утечки начнут привлекать к суду).
Будут ли требования ФЗ работать на практике?
Источник: InfoWatch и SecurityLab, 2007
Между тем, нельзя сбрасывать со счетов 40% специалистов, которые не верят в новый закон "О персональных данных". Из них 7% полностью убеждено, что ситуация вообще не изменится. Т.е. утечки продолжатся, как и раньше. А 33% выразили сомнения в том, что норматив будет работать на практике.
Опасения 40% респондентов вполне обоснованны. Со стратегической точки зрения, закону необходимо преодолеть медлительность и неэффективность российской судебной системы. Так, необходимы первые юридические прецеденты, которые бы привлекали к ответственности внутренних нарушителей и организаций, допускающих утечки персональных данных. Того же мнения придерживается Андрей Никишин, директор направления аутсорсинга ИТ-безопасности "Лаборатории Касперского": для того, чтобы шестеренки закрутились, необходима правоприменительная база. Только в этом случае угроза привлечения к ответственности за утечку информации будет эффективно сдерживать внутренних нарушителей и организации.
Реализация требований закона
Выше уже были перечислены требования ФЗ "О персональных данных" в области защиты информации. Между тем, реализация всех этих требований в ИТ-инфраструктуре организации, наверняка, потребует определенных усилий от специалистов компании, а также бюджетных ассигнований на покупку и внедрение новых средств защиты. В связи с этим возникает вполне резонный вопрос: "Какие препятствия на пути реализации требований нового нормативного акта являются наиболее существенными?".
Препятствия на пути реализации требований ФЗ
Источник: InfoWatch и SecurityLab, 2007
Легко видеть, что наибольшие сложности у российских специалистов вызывают сами требования закона, а точнее – их расплывчатость. Эта причина возглавила список наиболее сложных для преодоления препятствий и набрала 49% голосов. По всей видимости, респонденты прекрасно понимают, что конечные требования к защите персональных данных будут сформулированы позже ФСТЭК России. Другими словами, сейчас компании могут реализовать лишь самые общие положения закона: внедрить систему защиты от утечек и внутренних нарушителей, криптографические средства и разделение доступа.
Короткая ссылка
